Denne sikkerhedsbulletin retter DSA 563-1 og DSA 563-2, der ikke var i stand til at erstatte biblioteket til arkitekturerne sparc og arm på grund af forskellig versionering i det stabile arkiv. Andre arkitekturer blev opdateret korrekt. Et nyt problem blev dog rapporteret i forbindelse med sendmail, som desuden er rettet i forbindelse med denne opdatering.
I den stabile distribution (woody) er dette problem rettet i version 1.5.27-3.1woody5.
Til reference følger bulletinens tekst:
En sårbarhed er opdaget i Cyrus-implmentationen af SASL-biblioteket, Simple Authentication and Security Layer, en metode til tilføjelse af autentifikationsunderstøttelse for connection-baserede protokoller. Biblioteket adlyder blindt miljøvariablen SASL_PATH blindly, hvilket gør det muligt for en lokal bruger at linke til et ondsindet bibliotek, for at kunne køre vilkårlig kode med rettighederne hørende til en setuid- eller setgid-applikation.
I den ustabile distribution (sid) er dette problem rettet i version 1.5.28-6.2 af cyrus-sasl og i version 2.1.19-1.3 af cyrus-sasl2.
Vi anbefaler at du opgraderer dine libsasl-pakker.
MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.
MD5-kontrolsummer for de listede filer findes i den reviderede sikkerhedsbulletin.
MD5-kontrolsummer for de listede filer findes i den reviderede sikkerhedsbulletin.