Nergal hat eine Verwundbarkeit im htsearch-Programm berichtet, das als Komponente im ht://Dig-Paket enthalten ist, einem Indizier- und Suchsystem für kleine Domains und Intranets. Mit der alten Version war es möglich, den Parameter -c an das CGI-Programm zu übergeben, um eine andere Konfigurationsdatei zu nutzen.
Ein bösartiger Benutzer konnte so htsearch dazu bringen, eine Datei wie /dev/zero zu lesen und in eine Endlosschleife zu geraten. Wenn der Benutzer Schreibzugriff auf dem Server hat, konnte er das Programm zu einer Datei weisen und so beliebige Dateien erhalten, die von der Webserver User ID lesbar sind.
Dieses Problem wurde in der Version 3.1.5-2.0potato.1 für Debian GNU/Linux 2.2 behoben.
Wir empfehlen Ihnen, das htdig-Paket umgehend zu aktualisieren.
MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.