Debians sikkerhedsbulletin

DSA-2113-1 drupal6 -- flere sårbarheder

Rapporteret den:

20. sep 2010

Berørte pakker:

Sårbar:

Referencer i sikkerhedsdatabaser:

I Debians fejlsporingssystem: Fejl 592716.
I Mitres CVE-ordbog: CVE-2010-3091, CVE-2010-3092, CVE-2010-3093, CVE-2010-3094.

Yderligere oplysninger:

Flere sårbarheder er opdaget i Drupal 6, et komplet indholdhåndteringsframework. Projektet Common Vulnerabilities and Exposures har registreret følgende problemer:

CVE-2010-3091
Flere problemer er opdaget i OpenID-modulet, hvorved ondsindet adgang til brugerkonti var mulig.
CVE-2010-3092
Upload-modulet indeholdt en potentiel omgående af adgangsbegræsninger på grund af manglende kontrol på store hhv. små bogstaver.
CVE-2010-3093
Comment-modulet havde et rettighedsforøgelsesproblem, som gjorde det muligt for visse brugere at omgå begrænsninger.
CVE-2010-3094
Flere sårbarheder i forbindelse med udførelse af skripter på tværs af websteder (XSS), blev opdaget i Action-funktionaliteten.

I den stabile distribution (lenny), er disse problemer rettet i version 6.6-3lenny6.

I distributionen testing (squeeze) og i den ustabile distribution (sid), er disse problemer rettet i version 6.18-1.

Vi anbefaler at du opgraderer dine drupal6-pakker.

Rettet i:

Debian GNU/Linux 5.0 (lenny)

Kildekode:: http://security.debian.org/pool/updates/main/d/drupal6/drupal6_6.6-3lenny6.dsc; http://security.debian.org/pool/updates/main/d/drupal6/drupal6_6.6-3lenny6.diff.gz; http://security.debian.org/pool/updates/main/d/drupal6/drupal6_6.6.orig.tar.gz
Arkitekturuafhængig komponent:: http://security.debian.org/pool/updates/main/d/drupal6/drupal6_6.6-3lenny6_all.deb

MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.