Debians sikkerhedsbulletin

DSA-2092-1 lxr-cvs -- manglende fornuftighedskontrol af inddata

Rapporteret den:

17. aug 2010

Berørte pakker:

Sårbar:

Referencer i sikkerhedsdatabaser:

I Debians fejlsporingssystem: Fejl 588137, Fejl 585412, Fejl 588036, Fejl 575745.
I Mitres CVE-ordbog: CVE-2010-1625, CVE-2010-1738, CVE-2010-1448, CVE-2009-4497.

Yderligere oplysninger:

Dan Rosenberg opdagede at der i lxr-cvs, et kodeindekseringsværktøj med en webgrænseflade, ikke blev udført tilstrækkelg fornuftighedskontrol af inddata fra brugeren; en angriber kunne drage nytte af dette ved at overføre skriptkode for at iværksætte angreb i forbindelse med udførelse af kode på tværs af websteder.

I den stabile distribution (lenny), er dette problem rettet i version 0.9.5+cvs20071020-1+lenny1.

I distributionen testing (sid), er dette problem rettet i version 0.9.5+cvs20071020-1.1.

Vi anbefaler at du opgraderer dine lxr-cvs-pakker.

Rettet i:

Debian GNU/Linux 5.0 (lenny)

Kildekode:: http://security.debian.org/pool/updates/main/l/lxr-cvs/lxr-cvs_0.9.5+cvs20071020-1+lenny1.diff.gz; http://security.debian.org/pool/updates/main/l/lxr-cvs/lxr-cvs_0.9.5+cvs20071020.orig.tar.gz; http://security.debian.org/pool/updates/main/l/lxr-cvs/lxr-cvs_0.9.5+cvs20071020-1+lenny1.dsc
Arkitekturuafhængig komponent:: http://security.debian.org/pool/updates/main/l/lxr-cvs/lxr-cvs_0.9.5+cvs20071020-1+lenny1_all.deb

MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.