Aviso de seguridad de Debian

DSA-642-1 gallery -- varias vulnerabilidades

Fecha del informe:

17 de ene de 2005

Paquetes afectados:

gallery

Vulnerable:

Sí

Referencias a bases de datos de seguridad:

En la base de datos de Bugtraq (en SecurityFocus): Id. en BugTraq 11602.
En el diccionario CVE de Mitre: CVE-2004-1106.

Información adicional:

Se han descubierto varias vulnerabilidades en gallery, un álbum de fotos en formato web escrito en PHP4. El proyecto Common Vulnerabilities and Exposures identifica las siguientes vulnerabilidades:

CAN-2004-1106
Jim Paris descubrió una vulnerabilidad de guiones a través del sitio que permitía que URLs manipuladas insertaran código.
Sin correspondencia en el CVE
Los desarrolladores de gallery han corregido varios casos de posibles inyecciones de variables, que podían engañar a gallery para que realizara acciones peligrosas, por ejemplo, revelar la base de datos de contraseñas.

Para la distribución estable (woody), estos problemas se han corregido en la versión 1.2.5-8woody3.

Para la distribución inestable (sid), estos problemas se han corregido en la versión 1.4.4-pl4-1.

Le recomendamos que actualice el paquete gallery.

Arreglado en:

Debian GNU/Linux 3.0 (woody)

Fuentes:: http://security.debian.org/pool/updates/main/g/gallery/gallery_1.2.5-8woody3.dsc; http://security.debian.org/pool/updates/main/g/gallery/gallery_1.2.5-8woody3.diff.gz; http://security.debian.org/pool/updates/main/g/gallery/gallery_1.2.5.orig.tar.gz
Componentes independientes de la arquitectura:: http://security.debian.org/pool/updates/main/g/gallery/gallery_1.2.5-8woody3_all.deb

Las sumas MD5 de los ficheros que se listan están disponibles en el aviso original.