Bulletin d'alerte Debian
DSA-2088-1 wget -- Absence de vérification des entrées
- Date du rapport :
- 5 août 2010
- Paquets concernés :
- wget
- Vulnérabilité :
- Oui
- Références dans la base de données de sécurité :
- Dans le système de suivi des bogues Debian : Bogue 590296.
Dans le dictionnaire CVE du Mitre : CVE-2010-2252. - Plus de précisions :
-
On a découvert que Wget, un outil en ligne de commande pour le téléchargement de fichiers depuis Internet, utilise les noms de fichiers fournis par le serveur lors de la création des fichiers locaux. Cela pourrait conduire à l'exécution de code dans certains cas.
Après cette mise à jour, Wget ignorera les noms de fichiers fournis par le serveur. Vous pouvez réactiver l'ancien comportement en cas de besoin avec la nouvelle option --use-server-file-name.
Pour la distribution stable (Lenny), ce problème a été corrigé dans la version 1.11.4-2+lenny2.
Pour la distribution unstable (Sid), ce problème sera corrigé prochainement.
Nous vous recommandons de mettre à jour votre paquet wget.
- Corrigé dans :
-
Debian GNU/Linux 5.0 (lenny)
- Source :
- http://security.debian.org/pool/updates/main/w/wget/wget_1.11.4.orig.tar.gz
- http://security.debian.org/pool/updates/main/w/wget/wget_1.11.4-2+lenny2.dsc
- http://security.debian.org/pool/updates/main/w/wget/wget_1.11.4-2+lenny2.diff.gz
- http://security.debian.org/pool/updates/main/w/wget/wget_1.11.4-2+lenny2.dsc
- Alpha:
- http://security.debian.org/pool/updates/main/w/wget/wget_1.11.4-2+lenny2_alpha.deb
- AMD64:
- http://security.debian.org/pool/updates/main/w/wget/wget_1.11.4-2+lenny2_amd64.deb
- ARM:
- http://security.debian.org/pool/updates/main/w/wget/wget_1.11.4-2+lenny2_arm.deb
- ARM EABI:
- http://security.debian.org/pool/updates/main/w/wget/wget_1.11.4-2+lenny2_armel.deb
- HP Precision:
- http://security.debian.org/pool/updates/main/w/wget/wget_1.11.4-2+lenny2_hppa.deb
- Intel IA-32:
- http://security.debian.org/pool/updates/main/w/wget/wget_1.11.4-2+lenny2_i386.deb
- Intel IA-64:
- http://security.debian.org/pool/updates/main/w/wget/wget_1.11.4-2+lenny2_ia64.deb
- Big-endian MIPS:
- http://security.debian.org/pool/updates/main/w/wget/wget_1.11.4-2+lenny2_mips.deb
- Little-endian MIPS:
- http://security.debian.org/pool/updates/main/w/wget/wget_1.11.4-2+lenny2_mipsel.deb
- PowerPC:
- http://security.debian.org/pool/updates/main/w/wget/wget_1.11.4-2+lenny2_powerpc.deb
- IBM S/390:
- http://security.debian.org/pool/updates/main/w/wget/wget_1.11.4-2+lenny2_s390.deb
- Sun Sparc:
- http://security.debian.org/pool/updates/main/w/wget/wget_1.11.4-2+lenny2_sparc.deb
Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.