Debian-Sicherheitsankündigung

DSA-486-1 cvs -- Mehrere Verwundbarkeiten

Datum des Berichts:

16. Apr 2004

Betroffene Pakete:

Verwundbar:

Sicherheitsdatenbanken-Referenzen:

In der Bugtraq-Datenbank (bei SecurityFocus): BugTraq ID 10138, BugTraq ID 10140.
In Mitres CVE-Verzeichnis: CVE-2004-0180, CVE-2004-0405.

Weitere Informationen:

Zwei Verwundbarkeiten wurden in CVS entdeckt und beseitigt:

CAN-2004-0180
Sebastian Krahmer entdeckte eine Verwundbarkeit durch die ein bösartiger CVS pserver beliebige Dateien auf dem Client-System während einer update- oder checkout-Operation erstellen könnte, durch das Einspeisen absoluter Pfade in RCS diffs.
CAN-2004-0405
Derek Robert Price entdeckte eine Verwundbarkeit durch die ein CVS pserver durch einen bösartigen Client missbraucht werden kann, um den Inhalt bestimmter Dateien außerhalb des CVS-Root-Verzeichnisses mittels relativer Pfade, die "../" enthalten, anzuzeigen.

Für die aktuelle stable Distribution (Woody) wurden diese Probleme in Version 1.11.1p1debian-9woody2 behoben.

Für die unstable Distribution (Sid) werden diese Probleme bald behoben sein.

Wir empfehlen Ihnen, Ihr cvs-Paket zu aktualisieren.

Behoben in:

Quellcode:: http://security.debian.org/pool/updates/main/c/cvs/cvs_1.11.1p1debian-9woody2.dsc; http://security.debian.org/pool/updates/main/c/cvs/cvs_1.11.1p1debian-9woody2.diff.gz; http://security.debian.org/pool/updates/main/c/cvs/cvs_1.11.1p1debian.orig.tar.gz
Alpha:: http://security.debian.org/pool/updates/main/c/cvs/cvs_1.11.1p1debian-9woody2_alpha.deb
ARM:: http://security.debian.org/pool/updates/main/c/cvs/cvs_1.11.1p1debian-9woody2_arm.deb
Intel IA-32:: http://security.debian.org/pool/updates/main/c/cvs/cvs_1.11.1p1debian-9woody2_i386.deb
Intel IA-64:: http://security.debian.org/pool/updates/main/c/cvs/cvs_1.11.1p1debian-9woody2_ia64.deb
HPPA:: http://security.debian.org/pool/updates/main/c/cvs/cvs_1.11.1p1debian-9woody2_hppa.deb
Motorola 680x0:: http://security.debian.org/pool/updates/main/c/cvs/cvs_1.11.1p1debian-9woody2_m68k.deb
Big endian MIPS:: http://security.debian.org/pool/updates/main/c/cvs/cvs_1.11.1p1debian-9woody2_mips.deb
Little endian MIPS:: http://security.debian.org/pool/updates/main/c/cvs/cvs_1.11.1p1debian-9woody2_mipsel.deb
PowerPC:: http://security.debian.org/pool/updates/main/c/cvs/cvs_1.11.1p1debian-9woody2_powerpc.deb
IBM S/390:: http://security.debian.org/pool/updates/main/c/cvs/cvs_1.11.1p1debian-9woody2_s390.deb
Sun Sparc:: http://security.debian.org/pool/updates/main/c/cvs/cvs_1.11.1p1debian-9woody2_sparc.deb

MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.