Информация по безопасности / 2016 / Информация о безопасности -- DSA-3439-1 prosody

Рекомендация Debian по безопасности

DSA-3439-1 prosody -- обновление безопасности

Дата сообщения:

10.01.2016

Затронутые пакеты:

prosody

Уязвим:

Да

Ссылки на базы данных по безопасности:

В каталоге Mitre CVE: CVE-2016-1231, CVE-2016-1232.

Более подробная информация:

В Prosody, легковесном сервере Jabber/XMPP, было обнаружено две уязвимости. Проект Common Vulnerabilities and Exposures определяет следующие проблемы:

• CVE-2016-1231

  Ким Олвэфер обнаружил уязвимость в модуле работы с файлами через HTTP для Prosody, которая позволяет обслуживать запросы за пределами настроенного корневого каталога. Удалённый злоумышленник может использовать эту уязвимость для получения доступа к закрытым файлам, включая файлы с чувствительными данными. При настройках по умолчанию модуль mod_http_files выключен, а сервер не подвержен этой уязвимости.

• CVE-2016-1232

  Тийс Алкемад обнаружил, что Prosody создаёт закрытый токен для обратной аутентификации по принципу сервер-сервер на основе слабого генератора случайных чисел, который криптографически не безопасен. Удалённый злоумышленник может использовать эту уязвимость, чтобы отгадать вероятные значения закрытого ключа и выдать себя за соответствующий домен для других серверов в сети.

В предыдущем стабильном выпуске (wheezy) эти проблемы были исправлены в версии 0.8.2-4+deb7u3.

В стабильном выпуске (jessie) эти проблемы были исправлены в версии 0.9.7-2+deb8u2.

Рекомендуется обновить пакеты prosody.