Säkerhetsbulletin från Debian

DSA-2092-1 lxr-cvs -- städar inte indata

Rapporterat den:

2010-08-17

Berörda paket:

Sårbara:

Referenser i säkerhetsdatabaser:

I Debians felrapporteringssystem: Fel 588137, Fel 585412, Fel 588036, Fel 575745.
I Mitres CVE-förteckning: CVE-2010-1625, CVE-2010-1738, CVE-2010-1448, CVE-2009-4497.

Ytterligare information:

Dan Rosenberg upptäckte att lxr-cvs, ett kodindexeringsverktyg med ett webbskal, inte städar indata tillräckligt; en angripare kan utnyttja detta och skicka in skriptkod som utför serveröverskridande skriptangrepp.

För den stabila utgåvan (Lenny) har detta problem rättats i version 0.9.5+cvs20071020-1+lenny1.

För uttestningsutgåvan (Sid) har detta problem rättats i version 0.9.5+cvs20071020-1.1.

Vi rekommenderar att ni uppgraderar era lxr-cvs-paket.

Rättat i:

Debian GNU/Linux 5.0 (lenny)

Källkod:: http://security.debian.org/pool/updates/main/l/lxr-cvs/lxr-cvs_0.9.5+cvs20071020-1+lenny1.diff.gz; http://security.debian.org/pool/updates/main/l/lxr-cvs/lxr-cvs_0.9.5+cvs20071020.orig.tar.gz; http://security.debian.org/pool/updates/main/l/lxr-cvs/lxr-cvs_0.9.5+cvs20071020-1+lenny1.dsc
Arkitekturoberoende komponent:: http://security.debian.org/pool/updates/main/l/lxr-cvs/lxr-cvs_0.9.5+cvs20071020-1+lenny1_all.deb

MD5-kontrollsummor för dessa filer finns i originalbulletinen.