Рекомендация Debian по безопасности

DSA-307-1 gps -- много ошибок

Дата сообщения:

27.05.2003

Затронутые пакеты:

Уязвим:

Да

Ссылки на базы данных по безопасности:

В базе данных Bugtraq (на SecurityFocus): Идентификатор BugTraq 7736.
В каталоге Mitre CVE: CVE-2003-0361, CVE-2003-0360, CVE-2003-0362.

Более подробная информация:

gPS — это графическое приложение для просмотра информации о системных процессах. В выпуске 1.1.0 пакета gps исправлены несколько уязвимых мест в системе безопасности, что подробно описано в журнале изменений:

исправлена ошибка в политике приёма источников соединений rgpsp (она позволяла любому хосту подсоединиться, даже если файл /etc/rgpsp.conf это запрещал). Сейчас это работает правильно, но я рекомендую использовать в любой реальной ("промышленной") сети ip-фильтрацию для обеспечения политики (например, ipchains или iptables)
Исправлены несколько возможностей переполнения буфера. Спасибо Станиславу Иевлеву из ALT-Linux за то, что он указал многие из них.
исправлено неправильное форматирование параметров командной строки протокола rgpsp (командные строки, содержащие символы новой строки, нарушат работу протокола)
исправлено переполнение буфера, заставляющее rgpsp генерировать сигнал SIGSEGV при обработке процессов с длинными командными строками (более 128 символов) [только под Linux]

Все эти проблемы затрагивают пакет gps Debian версии 0.9.4-1 в Debian woody. Debian potato также содержит пакет gps (версии 0.4.1-2), но он не ими не затронут, поскольку соответствующие функции в этой версии не реализованы.

В стабильном дистрибутиве (woody) эти проблемы исправлены в версии 0.9.4-1woody1.

Старый стабильный дистрибутив (potato) не затронут этими проблемами.

В нестабильном дистрибутиве (sid) эти проблемы исправлены в версии 1.1.0-1.

Мы рекомендуем вам обновить пакет gps.

Исправлено в:

Debian GNU/Linux 3.0 (woody)

Исходный код:: http://security.debian.org/pool/updates/main/g/gps/gps_0.9.4-1woody1.dsc; http://security.debian.org/pool/updates/main/g/gps/gps_0.9.4-1woody1.diff.gz; http://security.debian.org/pool/updates/main/g/gps/gps_0.9.4.orig.tar.gz
Alpha:: http://security.debian.org/pool/updates/main/g/gps/gps_0.9.4-1woody1_alpha.deb; http://security.debian.org/pool/updates/main/g/gps/rgpsp_0.9.4-1woody1_alpha.deb
ARM:: http://security.debian.org/pool/updates/main/g/gps/gps_0.9.4-1woody1_arm.deb; http://security.debian.org/pool/updates/main/g/gps/rgpsp_0.9.4-1woody1_arm.deb
Intel IA-32:: http://security.debian.org/pool/updates/main/g/gps/gps_0.9.4-1woody1_i386.deb; http://security.debian.org/pool/updates/main/g/gps/rgpsp_0.9.4-1woody1_i386.deb
Intel IA-64:: http://security.debian.org/pool/updates/main/g/gps/gps_0.9.4-1woody1_ia64.deb; http://security.debian.org/pool/updates/main/g/gps/rgpsp_0.9.4-1woody1_ia64.deb
HPPA:: http://security.debian.org/pool/updates/main/g/gps/gps_0.9.4-1woody1_hppa.deb; http://security.debian.org/pool/updates/main/g/gps/rgpsp_0.9.4-1woody1_hppa.deb
Motorola 680x0:: http://security.debian.org/pool/updates/main/g/gps/gps_0.9.4-1woody1_m68k.deb; http://security.debian.org/pool/updates/main/g/gps/rgpsp_0.9.4-1woody1_m68k.deb
Big endian MIPS:: http://security.debian.org/pool/updates/main/g/gps/gps_0.9.4-1woody1_mips.deb; http://security.debian.org/pool/updates/main/g/gps/rgpsp_0.9.4-1woody1_mips.deb
Little endian MIPS:: http://security.debian.org/pool/updates/main/g/gps/gps_0.9.4-1woody1_mipsel.deb; http://security.debian.org/pool/updates/main/g/gps/rgpsp_0.9.4-1woody1_mipsel.deb
PowerPC:: http://security.debian.org/pool/updates/main/g/gps/gps_0.9.4-1woody1_powerpc.deb; http://security.debian.org/pool/updates/main/g/gps/rgpsp_0.9.4-1woody1_powerpc.deb
IBM S/390:: http://security.debian.org/pool/updates/main/g/gps/gps_0.9.4-1woody1_s390.deb; http://security.debian.org/pool/updates/main/g/gps/rgpsp_0.9.4-1woody1_s390.deb
Sun Sparc:: http://security.debian.org/pool/updates/main/g/gps/gps_0.9.4-1woody1_sparc.deb; http://security.debian.org/pool/updates/main/g/gps/rgpsp_0.9.4-1woody1_sparc.deb

Контрольные суммы MD5 этих файлов доступны в исходном сообщении.