Bulletin d'alerte Debian

DSA-436-1 mailman -- Multiples vulnérabilités

Date du rapport:

8 février 2004

Paquets concernés:

Vulnérabilité:

Oui

Références dans la base de données de sécurité:

Dans la base de données de suivi des bogues (chez SecurityFocus) : Identificateur BugTraq 9336, Identificateur BugTraq 9620.
Dans le dictionnaire CVE du Mitre : CVE-2003-0991, CVE-2003-0965, CVE-2003-0038.

Pour plus d'information:

Plusieurs vulnérabilités ont été corrigées dans le paquet mailman

CAN-2003-0038 - script intersites potentiel par l'utilisation de certains paramètres CGI (aucune exploitation de cette vulnérabilité n'est connue dans cette version) ;
CAN-2003-0965 - script intersites dans l'interface d'administration ;
CAN-2003-0991 - certaines commandes de courriel mal formées pourraient causer un plantage du processus mailman

Les vulnérabilités au script intersites pourraient permettre à un attaquant d'effectuer des opérations d'administration sans autorisation, en s'emparant d'un cookie de session.

Pour la distribution stable actuelle (Woody), ces problèmes ont été corrigés dans la version 2.0.11-1woody7.

Pour la distribution instable (Sid), CAN-2003-0965 a été corrigé dans la version 2.1.4-1 et CAN-2003-0038 dans la version 2.1.1-1. CAN-2003-0991 sera corrigé sous peu.

Nous vous recommandons de mettre à jour votre paquet mailman.

Corrigé dans:

Debian GNU/Linux 3.0 (woody)

Source :: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody8.dsc; http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody8.diff.gz; http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11.orig.tar.gz
Alpha:: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody8_alpha.deb
ARM:: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody8_arm.deb
Intel IA-32:: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody8_i386.deb
Intel IA-64:: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody8_ia64.deb
HPPA:: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody8_hppa.deb
Motorola 680x0:: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody8_m68k.deb
Big endian MIPS:: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody8_mips.deb
Little endian MIPS:: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody8_mipsel.deb
PowerPC:: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody8_powerpc.deb
IBM S/390:: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody8_s390.deb
Sun Sparc:: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody8_sparc.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.

Les sommes MD5 des fichiers indiqués sont disponibles dans la nouvelle annonce de sécurité.