Рекомендация Debian по безопасности

DSA-283-1 xfsdump -- создание небезопасных файлов

Дата сообщения:

11.04.2003

Затронутые пакеты:

Уязвим:

Да

Ссылки на базы данных по безопасности:

В базе данных Bugtraq (на SecurityFocus): Идентификатор BugTraq 7321.
В каталоге Mitre CVE: CVE-2003-0173.
База данных CERT по уязвимостям, предложениям и инцидентам: VU#111673.

Более подробная информация:

Этан Бенсон (Ethan Benson) обнаружил проблему в пакете xfsdump, содержащем утилиты администрирования файловой системы XFS. При задействовании квотирования файловой системы xfsdump запускает xfsdq для сохранения информации о квотах в файл в корневом каталоге файловой системы. Способ создания этого файла содержит уязвимые места.

Для исправления добавлен новый параметр вызова xfsdq(8) "-f path", где можно указать выходной файл, используемый вместо стандартного потока вывода. Этот файл создаётся xfsdq, и если он уже существует, запуск xfsdq не удастся. Режим доступа для создаваемого файла более безопасен, чем какой-либо режим umask, возможный при запуске xfsdump(8).

В стабильном дистрибутиве (woody) эта проблема исправлена в версии 2.0.1-2.

Старый стабильный дистрибутив (potato) не затронут, поскольку он не содержит пакетов xfsdump.

В нестабильном дистрибутиве (sid) эта проблема исправлена в версии 2.2.8-1.

Мы рекомендуем вам немедленно обновить пакет xfsdump.

Исправлено в:

Debian GNU/Linux 3.0 (woody)

Исходный код:: http://security.debian.org/pool/updates/main/x/xfsdump/xfsdump_2.0.1-2.dsc; http://security.debian.org/pool/updates/main/x/xfsdump/xfsdump_2.0.1-2.tar.gz
Alpha:: http://security.debian.org/pool/updates/main/x/xfsdump/xfsdump_2.0.1-2_alpha.deb
ARM:: http://security.debian.org/pool/updates/main/x/xfsdump/xfsdump_2.0.1-2_arm.deb
Intel IA-32:: http://security.debian.org/pool/updates/main/x/xfsdump/xfsdump_2.0.1-2_i386.deb
Intel IA-64:: http://security.debian.org/pool/updates/main/x/xfsdump/xfsdump_2.0.1-2_ia64.deb
HPPA:: http://security.debian.org/pool/updates/main/x/xfsdump/xfsdump_2.0.1-2_hppa.deb
Motorola 680x0:: http://security.debian.org/pool/updates/main/x/xfsdump/xfsdump_2.0.1-2_m68k.deb
Big endian MIPS:: http://security.debian.org/pool/updates/main/x/xfsdump/xfsdump_2.0.1-2_mips.deb
Little endian MIPS:: http://security.debian.org/pool/updates/main/x/xfsdump/xfsdump_2.0.1-2_mipsel.deb
PowerPC:: http://security.debian.org/pool/updates/main/x/xfsdump/xfsdump_2.0.1-2_powerpc.deb
IBM S/390:: http://security.debian.org/pool/updates/main/x/xfsdump/xfsdump_2.0.1-2_s390.deb
Sun Sparc:: http://security.debian.org/pool/updates/main/x/xfsdump/xfsdump_2.0.1-2_sparc.deb

Контрольные суммы MD5 этих файлов доступны в исходном сообщении.