Säkerhetsbulletin från Debian

DSA-877-1 gnump3d -- serveröverskridande skriptsårbarhet, katalogtravsersering

Rapporterat den:

2005-10-28

Berörda paket:

gnump3d

Sårbara:

Referenser i säkerhetsdatabaser:

I Mitres CVE-förteckning: CVE-2005-3123, CVE-2005-3424, CVE-2005-3425.

Ytterligare information:

Steve Kemp upptäckte två sårbarheter i gnump3d, en strömmande server för MP3- och OGG-filer. Projektet Common Vulnerabilities and Exposures identifierar följande problem:

CVE-2005-3122
404-svarssidan tog inte bort skadligt JavaScript-innehåll från sidan som genereras, vilket kunde exekveras i offrets webbläsare.
CVE-2005-3123
Genom att använda specialskrivna URL:er var det möjligt att läsa godtyckliga filer som användaren av den strömmande servern har tillgång till.

Den gamla stabila utgåvan (Woody) innehåller inte något gnump3d-paket.

För den stabila utgåvan (Sarge) har dessa problem rättats i version 2.9.3-1sarge2.

För den instabila utgåvan (Sid) har dessa problem rättats i version 2.9.6-1.

Vi rekommenderar att ni uppgraderar ert gnump3d-paket.

Rättat i:

Debian GNU/Linux 3.1 (sarge)

Källkod:: http://security.debian.org/pool/updates/main/g/gnump3d/gnump3d_2.9.3-1sarge2.dsc; http://security.debian.org/pool/updates/main/g/gnump3d/gnump3d_2.9.3.orig.tar.gz; http://security.debian.org/pool/updates/main/g/gnump3d/gnump3d_2.9.3-1sarge2.diff.gz
Arkitekturoberoende komponent:: http://security.debian.org/pool/updates/main/g/gnump3d/gnump3d_2.9.3-1sarge2_all.deb

MD5-kontrollsummor för dessa filer finns i originalbulletinen.