Säkerhetsbulletin från Debian

DSA-2113-1 drupal6 -- flera sårbarheter

Rapporterat den:

2010-09-20

Berörda paket:

Sårbara:

Referenser i säkerhetsdatabaser:

I Debians felrapporteringssystem: Fel 592716.
I Mitres CVE-förteckning: CVE-2010-3091, CVE-2010-3092, CVE-2010-3093, CVE-2010-3094.

Ytterligare information:

Flera sårbarheter har upptäckts i Drupal 6, ett fullfjädrat innehållshanteringsramverk. Projektet Common Vulnerabilities and Exposures identifierar följande problem:

CVE-2010-3091
Flera problem har upptäckts i OpenID-modulen som tillåter illvillig åtkomst till användarkonton.
CVE-2010-3092
Uppladdningsmodulen innehåller en möjlighet att kringgå åtkomstrestriktionerna på grund av att känslighet för stora och små tecken inte kontrolleras.
CVE-2010-3093
Kommentarsmodulen har ett problem som tillåter utökning av privilegier. Detta problem tillåter vissa användare att kringgå begränsningar.
CVE-2010-3094
Flera serveröverskridande skriptningsproblem (XSS) har upptäckts i funktionen Action.

För den stabila utgåvan (Lenny) har dessa problem rättats i version 6.6-3lenny6.

För uttestningsutgåvan (Squeeze) och den instabila utgåvan (Sid) har dessa problem rättats i version 6.18-1.

Vi rekommenderar att ni uppgraderar era drupal6-paket.

Rättat i:

Debian GNU/Linux 5.0 (lenny)

Källkod:: http://security.debian.org/pool/updates/main/d/drupal6/drupal6_6.6-3lenny6.dsc; http://security.debian.org/pool/updates/main/d/drupal6/drupal6_6.6-3lenny6.diff.gz; http://security.debian.org/pool/updates/main/d/drupal6/drupal6_6.6.orig.tar.gz
Arkitekturoberoende komponent:: http://security.debian.org/pool/updates/main/d/drupal6/drupal6_6.6-3lenny6_all.deb

MD5-kontrollsummor för dessa filer finns i originalbulletinen.