Aviso de seguridad de Debian

DSA-436-1 mailman -- varias vulnerabilidades

Fecha del informe:

8 de feb de 2004

Paquetes afectados:

Vulnerable:

Sí

Referencias a bases de datos de seguridad:

En la base de datos de Bugtraq (en SecurityFocus): Id. en BugTraq 9336, Id. en BugTraq 9620.
En el diccionario CVE de Mitre: CVE-2003-0991, CVE-2003-0965, CVE-2003-0038.

Información adicional:

Se han corregido varias vulnerabilidades en el paquete mailman:

CAN-2003-0038 - potencialmente, scripts a través del sitio por medio de algunos parámetros CGI (se desconoce si se puede aprovechar en esta versión)
CAN-2003-0965 - scripts a través del sitio en el interfaz administrativo
CAN-2003-0991 - algunos comandos de correo-e mal formados podrían provocar que cayese el proceso de mailman

Las vulnerabilidades de scripts a través del sitio podrían permitir a un atacante realizar operaciones administrativas sin autorización, robando una cookie de sesión.

Para la distribución estable actual (woody), estos problemas se han corregido en la versión 2.0.11-1woody7.

Para la distribución inestable (sid), CAN-2003-0965 se corrigió en la versión 2.1.4-1 y CAN-2003-0038 en la versión 2.1.1-1. CAN-2003-0991 se corregirá en breve.

Le recomendamos que actualice el paquete mailman.

Arreglado en:

Debian GNU/Linux 3.0 (woody)

Fuentes:: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody8.dsc; http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody8.diff.gz; http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11.orig.tar.gz
Alpha:: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody8_alpha.deb
ARM:: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody8_arm.deb
Intel IA-32:: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody8_i386.deb
Intel IA-64:: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody8_ia64.deb
HPPA:: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody8_hppa.deb
Motorola 680x0:: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody8_m68k.deb
Big endian MIPS:: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody8_mips.deb
Little endian MIPS:: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody8_mipsel.deb
PowerPC:: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody8_powerpc.deb
IBM S/390:: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody8_s390.deb
Sun Sparc:: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody8_sparc.deb

Las sumas MD5 de los ficheros que se listan están disponibles en el aviso original.

Las sumas MD5 de los ficheros que se listan están disponibles en el aviso revisado.