Debians sikkerhedsbulletin

DSA-2234-1 zodb -- flere sårbarheder

Rapporteret den:
10. maj 2011
Berørte pakker:
zodb
Sårbar:
Ja
Referencer i sikkerhedsdatabaser:
I Debians fejlsporingssystem: Fejl 540465.
I Mitres CVE-ordbog: CVE-2009-0668, CVE-2009-0669.
Yderligere oplysninger:

Flere fjernudnytbare sårbarheder er opdaget i python-zodb, et sæt værktøjer til anvendelse af ZODB, som i værste fald kunne føre til udførelse af vilkårlig kode. Projektet Common Vulnerabilities and Exposures har registreret følgende problemer:

  • CVE-2009-0668

    ZEO-serveren begrænsede ikke callables ved unpickling af data modtaget fra en ondsindet klient, hvilket kunne anvendes af en angriber til at udføre vilkårlig Python-kode på serveren ved at sende visse exception pickles. Dermed var det også muligt for an angriber, at importere ethvert importerbart modul, da ZEO importerede modulet indeholdende en callable specificeret i en pickle for at teste for forekomsten af et bestemt flag.

  • CVE-2009-0669

    På grund af en programmeringsfejl blev eni autorisationsmetode i StorageServer-komponenten i ZEO ikke anvendt som en intern metode. Dermed var det muligt for en ondsindet klient at omgå autentifikation, når den forbandt sig til en ZEO-server, ved blot at kalde autorisationsmetoden.

Opdateringen begrænser også antallet af nye objektid'er en klient bede om, til 100, da det ellers ville være muligt at forbruge en enorm mængde ressourcer ved at bede om en stor mængde nye objektid'er. Der er endnu ikke tildelt en CVE-id hertil.

I den gamle stabile distribution (lenny), er dette problem rettet i version 1:3.6.0-2+lenny3.

Den stabile distribution (squeeze) er ikke påvirket, da den blev rettet før den oprindelige udgivelse.

I den ustabile distribution (sid), er dette problem rettet i version 1:3.8.2-1.

Vi anbefaler at du opgraderer dine zodb-pakker.