Säkerhetsbulletin från Debian

DSA-1990-1 trac-git -- injicering av skalkommando

Rapporterat den:

2010-02-03

Berörda paket:

trac-git

Sårbara:

Referenser i säkerhetsdatabaser:

I Debians felrapporteringssystem: Fel 567039.
I Mitres CVE-förteckning: CVE-2010-0394.

Ytterligare information:

Stefan Goebel upptäckte att Debians version av trac-git, tillägget till Git för problemhanteringssystemet Trac, innehåller ett problem som tillåter angripare att exekvera kod på webbservern som kör trac-git genom att skicka specialskrivna HTTP-frågor.

Den gamla stabila utgåvan (Etch) innehåller inte något trac-git-paket.

För den stabila utgåvan (Lenny) har detta problem rättats i version 0.0.20080710-3+lenny1.

För den instabila utgåvan (Sid) och uttestningsutgåvan (Squeeze) har detta problem rättats i version 0.0.20090320-1.

Vi rekommenderar att ni uppgraderar ert trac-git-paket.

Rättat i:

Debian GNU/Linux 5.0 (lenny)

Källkod:: http://security.debian.org/pool/updates/main/t/trac-git/trac-git_0.0.20080710-3+lenny1.dsc; http://security.debian.org/pool/updates/main/t/trac-git/trac-git_0.0.20080710-3+lenny1.diff.gz; http://security.debian.org/pool/updates/main/t/trac-git/trac-git_0.0.20080710.orig.tar.gz
Arkitekturoberoende komponent:: http://security.debian.org/pool/updates/main/t/trac-git/trac-git_0.0.20080710-3+lenny1_all.deb

MD5-kontrollsummor för dessa filer finns i originalbulletinen.