Säkerhetsbulletin från Debian

DSA-2023-1 curl -- buffertspill

Rapporterat den:

2010-03-28

Berörda paket:

curl

Sårbara:

Referenser i säkerhetsdatabaser:

I Mitres CVE-förteckning: CVE-2010-0734.

Ytterligare information:

Wesley Miaw upptäckte att libcurl, ett filöverföringsbibliotek med stöd för flera olika protokoll, är sårbart för ett buffertspill med hjälp av återanropsfunktionen när en applikation låter libcurl packa upp data automatiskt. Observera att detta bara påverkar applikationer som litar på libcurls maxgräns för en fix buffertstorlek och inte utför några egna kontroller.

För den stabila utgåvan (Lenny) har detta problem rättats i version 7.18.2-8lenny4.

På grund av ett problem med arkivets mjukvara, har vi ingen möjlighet att släppa rättade paket för alla arkitekturer samtidigt. Binärer för arkitekturerna hppa, ia64, mips, mipsel och s390 kommer tillhandahållas så snart de finns tillgängliga.

För uttestningsutgåvan (Squeeze) och den instabila utgåvan (Sid) har detta problem rättats i version 7.20.0-1.

Vi rekommenderar att ni uppgraderar era curl-paket.

Rättat i:

Debian GNU/Linux 5.0 (lenny)

Källkod:: http://security.debian.org/pool/updates/main/c/curl/curl_7.18.2-8lenny4.dsc; http://security.debian.org/pool/updates/main/c/curl/curl_7.18.2.orig.tar.gz; http://security.debian.org/pool/updates/main/c/curl/curl_7.18.2-8lenny4.diff.gz
Alpha:: http://security.debian.org/pool/updates/main/c/curl/libcurl3-gnutls_7.18.2-8lenny4_alpha.deb; http://security.debian.org/pool/updates/main/c/curl/curl_7.18.2-8lenny4_alpha.deb; http://security.debian.org/pool/updates/main/c/curl/libcurl4-openssl-dev_7.18.2-8lenny4_alpha.deb; http://security.debian.org/pool/updates/main/c/curl/libcurl3-dbg_7.18.2-8lenny4_alpha.deb; http://security.debian.org/pool/updates/main/c/curl/libcurl4-gnutls-dev_7.18.2-8lenny4_alpha.deb; http://security.debian.org/pool/updates/main/c/curl/libcurl3_7.18.2-8lenny4_alpha.deb
AMD64:: http://security.debian.org/pool/updates/main/c/curl/libcurl4-gnutls-dev_7.18.2-8lenny4_amd64.deb; http://security.debian.org/pool/updates/main/c/curl/curl_7.18.2-8lenny4_amd64.deb; http://security.debian.org/pool/updates/main/c/curl/libcurl3-gnutls_7.18.2-8lenny4_amd64.deb; http://security.debian.org/pool/updates/main/c/curl/libcurl3-dbg_7.18.2-8lenny4_amd64.deb; http://security.debian.org/pool/updates/main/c/curl/libcurl3_7.18.2-8lenny4_amd64.deb; http://security.debian.org/pool/updates/main/c/curl/libcurl4-openssl-dev_7.18.2-8lenny4_amd64.deb
ARM:: http://security.debian.org/pool/updates/main/c/curl/libcurl3_7.18.2-8lenny4_arm.deb; http://security.debian.org/pool/updates/main/c/curl/libcurl3-gnutls_7.18.2-8lenny4_arm.deb; http://security.debian.org/pool/updates/main/c/curl/libcurl4-gnutls-dev_7.18.2-8lenny4_arm.deb; http://security.debian.org/pool/updates/main/c/curl/curl_7.18.2-8lenny4_arm.deb; http://security.debian.org/pool/updates/main/c/curl/libcurl3-dbg_7.18.2-8lenny4_arm.deb; http://security.debian.org/pool/updates/main/c/curl/libcurl4-openssl-dev_7.18.2-8lenny4_arm.deb
ARM EABI:: http://security.debian.org/pool/updates/main/c/curl/libcurl3_7.18.2-8lenny4_armel.deb; http://security.debian.org/pool/updates/main/c/curl/libcurl4-openssl-dev_7.18.2-8lenny4_armel.deb; http://security.debian.org/pool/updates/main/c/curl/libcurl4-gnutls-dev_7.18.2-8lenny4_armel.deb; http://security.debian.org/pool/updates/main/c/curl/libcurl3-gnutls_7.18.2-8lenny4_armel.deb; http://security.debian.org/pool/updates/main/c/curl/libcurl3-dbg_7.18.2-8lenny4_armel.deb; http://security.debian.org/pool/updates/main/c/curl/curl_7.18.2-8lenny4_armel.deb
Intel IA-32:: http://security.debian.org/pool/updates/main/c/curl/libcurl3_7.18.2-8lenny4_i386.deb; http://security.debian.org/pool/updates/main/c/curl/libcurl3-dbg_7.18.2-8lenny4_i386.deb; http://security.debian.org/pool/updates/main/c/curl/libcurl4-openssl-dev_7.18.2-8lenny4_i386.deb; http://security.debian.org/pool/updates/main/c/curl/curl_7.18.2-8lenny4_i386.deb; http://security.debian.org/pool/updates/main/c/curl/libcurl3-gnutls_7.18.2-8lenny4_i386.deb; http://security.debian.org/pool/updates/main/c/curl/libcurl4-gnutls-dev_7.18.2-8lenny4_i386.deb
PowerPC:: http://security.debian.org/pool/updates/main/c/curl/libcurl3_7.18.2-8lenny4_powerpc.deb; http://security.debian.org/pool/updates/main/c/curl/libcurl3-gnutls_7.18.2-8lenny4_powerpc.deb; http://security.debian.org/pool/updates/main/c/curl/libcurl4-openssl-dev_7.18.2-8lenny4_powerpc.deb; http://security.debian.org/pool/updates/main/c/curl/curl_7.18.2-8lenny4_powerpc.deb; http://security.debian.org/pool/updates/main/c/curl/libcurl4-gnutls-dev_7.18.2-8lenny4_powerpc.deb; http://security.debian.org/pool/updates/main/c/curl/libcurl3-dbg_7.18.2-8lenny4_powerpc.deb
Sun Sparc:: http://security.debian.org/pool/updates/main/c/curl/curl_7.18.2-8lenny4_sparc.deb; http://security.debian.org/pool/updates/main/c/curl/libcurl4-gnutls-dev_7.18.2-8lenny4_sparc.deb; http://security.debian.org/pool/updates/main/c/curl/libcurl4-openssl-dev_7.18.2-8lenny4_sparc.deb; http://security.debian.org/pool/updates/main/c/curl/libcurl3-gnutls_7.18.2-8lenny4_sparc.deb; http://security.debian.org/pool/updates/main/c/curl/libcurl3-dbg_7.18.2-8lenny4_sparc.deb; http://security.debian.org/pool/updates/main/c/curl/libcurl3_7.18.2-8lenny4_sparc.deb

MD5-kontrollsummor för dessa filer finns i originalbulletinen.