Säkerhetsbulletin från Debian
DSA-1966-1 horde3 -- otillräcklig städning av indata
- Rapporterat den:
- 2010-01-07
- Berörda paket:
- horde3
- Sårbara:
- Ja
- Referenser i säkerhetsdatabaser:
- I Mitres CVE-förteckning: CVE-2009-3237, CVE-2009-3701, CVE-2009-4363.
- Ytterligare information:
-
Flera sårbarheter har upptäckts i horde3, ett webbapplikationsramverk. Projektet Common Vulnerabilities and Exposures identifierar följande problem:
- CVE-2009-3237
Det har upptäckts att horde3 är sårbar för serveröverskridande skriptangrepp med hjälp av specialskrivna föredragna tal eller inbäddade MIME-textdelar när text/plain används som MIME-typ. För Lenny var detta problem redan rättat, men som en ytterligare säkerhetsåtgärd, avaktiverades visning av inbäddad text i konfigurationsfilen.
- CVE-2009-3701
Det har upptäckts att horde3's administrationsgränssnitt är sårbart för serveröverskridande skriptangrepp på grund av att variabeln PHP_SELF används. Detta problem kan bara utnyttjas av en autentiserad administratör.
- CVE-2009-4363
Det har upptäckts att horde3 är sårbart för flera serveröverskridande skriptangrepp med hjälp av specialskrivna data:text/html-värden i HTML-meddelanden.
För den stabila utgåvan (Lenny) har dessa problem rättats i version 3.2.2+debian0-2+lenny2.
För den gamla stabila utgåvan (Etch) har dessa problem rättats i version 3.1.3-4etch7.
För uttestningsutgåvan (Squeeze) och den instabila utgåvan (Sid) har dessa problem rättats i version 3.3.6+debian0-1.
Vi rekommenderar att ni uppgraderar era horde3-paket.
- CVE-2009-3237
- Rättat i:
-
Debian GNU/Linux 4.0 (etch)
- Källkod:
- http://security.debian.org/pool/updates/main/h/horde3/horde3_3.1.3-4etch7.dsc
- http://security.debian.org/pool/updates/main/h/horde3/horde3_3.1.3-4etch7.diff.gz
- http://security.debian.org/pool/updates/main/h/horde3/horde3_3.1.3.orig.tar.gz
- http://security.debian.org/pool/updates/main/h/horde3/horde3_3.1.3-4etch7.diff.gz
- Arkitekturoberoende komponent:
- http://security.debian.org/pool/updates/main/h/horde3/horde3_3.1.3-4etch7_all.deb
Debian GNU/Linux 5.0 (lenny)
- Källkod:
- http://security.debian.org/pool/updates/main/h/horde3/horde3_3.2.2+debian0-2+lenny2.dsc
- http://security.debian.org/pool/updates/main/h/horde3/horde3_3.2.2+debian0-2+lenny2.diff.gz
- http://security.debian.org/pool/updates/main/h/horde3/horde3_3.2.2+debian0.orig.tar.gz
- http://security.debian.org/pool/updates/main/h/horde3/horde3_3.2.2+debian0-2+lenny2.diff.gz
- Arkitekturoberoende komponent:
- http://security.debian.org/pool/updates/main/h/horde3/horde3_3.2.2+debian0-2+lenny2_all.deb
MD5-kontrollsummor för dessa filer finns i originalbulletinen.