Debian セキュリティ勧告

DSA-209-1 wget -- ディレクトリの全探索

報告日時:

2002-12-12

影響を受けるパッケージ:

wget

危険性:

あり

参考セキュリティデータベース:

(SecurityFocus の) Bugtraq データベース: BugTraq ID 6352.
Mitre の CVE 辞書: CVE-2002-1344, CVE-2002-1565.

詳細:

Debian GNU/Linux で配布されている wget パッケージに、二つの問題が発見されました:

Stefano Zacchiroli さんは、url_filename 関数でのバッファオーバーランを発見しました。この問題により、とても長い URL において wget がセグメンテーションフォールトを起こしてしまいます。
Steven M. Christey さんにより、wget が NLST コマンドへの FTP サーバのレスポンスを確認していないという問題が発見されました: このレスポンスにディレクトリ情報が含まれていた場合には、FTP クライアントに任意のファイルを上書きされてしまう可能性があります。

これらの問題は、旧安定版 (Debian GNU/Linux 2.2, potato) ではバージョン 1.5.3-3.1 で、現安定版 (stable, Debian GNU/Linux 3.0, woody) では 1.8.1-6.1 で各々修正されています。

修正:

ソース:: http://security.debian.org/pool/updates/main/w/wget/wget_1.5.3-3.1.diff.gz; http://security.debian.org/pool/updates/main/w/wget/wget_1.5.3.orig.tar.gz; http://security.debian.org/pool/updates/main/w/wget/wget_1.5.3-3.1.dsc
alpha (DEC Alpha):: http://security.debian.org/pool/updates/main/w/wget/wget_1.5.3-3.1_alpha.deb
arm (ARM):: http://security.debian.org/pool/updates/main/w/wget/wget_1.5.3-3.1_arm.deb
i386 (Intel ia32):: http://security.debian.org/pool/updates/main/w/wget/wget_1.5.3-3.1_i386.deb
m68k (Motorola Mc680x0):: http://security.debian.org/pool/updates/main/w/wget/wget_1.5.3-3.1_m68k.deb
powerpc (PowerPC):: http://security.debian.org/pool/updates/main/w/wget/wget_1.5.3-3.1_powerpc.deb
sparc (Sun SPARC/UltraSPARC):: http://security.debian.org/pool/updates/main/w/wget/wget_1.5.3-3.1_sparc.deb

ソース:: http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1.orig.tar.gz; http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1.diff.gz; http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1.dsc
alpha (DEC Alpha):: http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1_alpha.deb
arm (ARM):: http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1_arm.deb
hppa (HP PA RISC):: http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1_hppa.deb
i386 (Intel ia32):: http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1_i386.deb
ia64 (Intel ia64):: http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1_ia64.deb
m68k (Motorola Mc680x0):: http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1_m68k.deb
mips (MIPS (Big Endian)):: http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1_mips.deb
powerpc (PowerPC):: http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1_powerpc.deb
s390 (IBM S/390):: http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1_s390.deb
sparc (Sun SPARC/UltraSPARC):: http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1_sparc.deb

一覧にあるファイルの MD5 チェックサムは勧告の原文にあります。