Bulletin d'alerte Debian

DSA-080-1 htdig -- Collecte de données non autorisée

Date du rapport:
17 octobre 2001
Paquets concernés:
htdig
Vulnérabilité:
Oui
Références dans la base de données de sécurité:
Dans le dictionnaire CVE du Mitre : CVE-2001-0834.
Pour plus d'information:
Nergal a rapporté une faille de sécurité dans le programme htsearch qui est distribué comme partie du paquet ht://Dig, un système d'indexation et de recherche pour les petits domaines ou intranets. En utilisant des versions plus vieilles, il était possible de passer le paramètre -c au programme cgi pour qu'il utilise un autre fichier de configuration.

Un utilisateur malveillant pouvait faire pointer htsearch vers un fichier comme /dev/zero et laisser le serveur tourner dans une boucle sans fin, essayant de lire des paramètre de configuration. Si l'utilisateur a une permission d'écriture sur le serveur, il peut pointer le programme dessus et récupérer tout fichier lisible par l'id de l'utilisateur du serveur web.

Ce problème a été corrigé dans la version 3.1.5-2.0potato.1 pour Debian GNU/Linux 2.2.

Nous vous recommandons de mettre à jour votre paquet htdig immédiatement.

Corrigé dans:

Debian GNU/Linux 2.2 (potato)

Source :
http://security.debian.org/dists/stable/updates/main/source/htdig_3.1.5-2.0potato.1.diff.gz
http://security.debian.org/dists/stable/updates/main/source/htdig_3.1.5-2.0potato.1.dsc
http://security.debian.org/dists/stable/updates/main/source/htdig_3.1.5.orig.tar.gz
Composant indépendant de l'architecture :
http://security.debian.org/dists/stable/updates/main/binary-all/htdig-doc_3.1.5-2.0potato.1_all.deb
Alpha:
http://security.debian.org/dists/stable/updates/main/binary-alpha/htdig_3.1.5-2.0potato.1_alpha.deb
ARM:
http://security.debian.org/dists/stable/updates/main/binary-arm/htdig_3.1.5-2.0potato.1_arm.deb
Intel ia32:
http://security.debian.org/dists/stable/updates/main/binary-i386/htdig_3.1.5-2.0potato.1_i386.deb
Motorola 680x0:
http://security.debian.org/dists/stable/updates/main/binary-m68k/htdig_3.1.5-2.0potato.1_m68k.deb
PowerPC:
http://security.debian.org/dists/stable/updates/main/binary-powerpc/htdig_3.1.5-2.0potato.1_powerpc.deb
Sun Sparc:
http://security.debian.org/dists/stable/updates/main/binary-sparc/htdig_3.1.5-2.0potato.1_sparc.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.