Aviso de seguridad de Debian

DSA-4773-1 yaws -- actualización de seguridad

Fecha del informe:
16 de oct de 2020
Paquetes afectados:
yaws
Vulnerable:
Referencias a bases de datos de seguridad:
En el diccionario CVE de Mitre: CVE-2020-24379, CVE-2020-24916.
Información adicional:

Se descubrieron dos vulnerabilidades en yaws, un servidor web HTTP 1.1 de alto rendimiento escrito en Erlang.

  • CVE-2020-24379

    La implentación de WebDAV es propensa a una vulnerabilidad de inyección de entidad externa XML (XXE).

  • CVE-2020-24916

    La implementación de CGI no sanea correctamente las peticiones, lo que permite que un atacante remoto ejecute órdenes arbitrarias del intérprete de órdenes («shell») por medio de ejecutables CGI con nombres preparados de una manera determinada.

Para la distribución «estable» (buster), estos problemas se han corregido en la versión 2.0.6+dfsg-1+deb10u1.

Le recomendamos que actualice los paquetes de yaws.

Para información detallada sobre el estado de seguridad de yaws, consulte su página en el sistema de seguimiento de problemas de seguridad: https://security-tracker.debian.org/tracker/yaws