Debians sikkerhedsbulletin

DSA-3275-1 fusionforge -- sikkerhedsopdatering

Rapporteret den:

30. maj 2015

Berørte pakker:

fusionforge

Sårbar:

Referencer i sikkerhedsdatabaser:

I Mitres CVE-ordbog: CVE-2015-0850.

Yderligere oplysninger:

Ansgar Burchardt opdagede at Git-plugin'en til FusionForge, et webbaseret projekthåndterings- og samarbejdsprogram, ikke på tilstrækkelig vis validerede brugerleverede inddata som parameter til den metode, der opretter sekundære Git-arkiver. En fjernangriber kunne udnytte fejlen til at udføre vilkårlig kode som root gennem en særligt fremstillet URL.

I den stabile distribution (jessie), er dette problem rettet i version 5.3.2+20141104-3+deb8u1.

I distributionen testing (stretch) og i den ustabile distribution (sid), vil dette problem snart blive rettet.

Vi anbefaler at du opgraderer dine fusionforge-pakker.