Remco Verhoef upptäckte en sårbarhet i acidlab, en analyskonsol för intrångsdatabaser, samt i acidbase, en grundläggande analys- och säkerhetsmotor, vilken kunde utnyttjas av illvilliga användare till att utföra SQL-injiceringsangrepp.
De ansvariga för Analysis Console for Intrusion Databases (ACID) i Debian, som BASE baserar sig på, undersökte både BASE och ACID och har kommit fram till att felet inte bara påverkar komponenterna base_qry_main.php (i BASE) och acid_qry_main.php (i ACID), utan även upptäckts i andra delar av konsolen på grund av felaktig parametervalidering och -filtrering.
Alla SQL-injiceringsfel och serveröverskridande skriptfel har rättats i Debianpaketet, vilket stänger alla de upptäckta angreppsvektorerna.
För den gamla stabila utgåvan (Woody) har detta problem rättats i version 0.9.6b20-2.1.
För den stabila utgåvan (Sarge) har detta problem rättats i version 0.9.6b20-10.1.
För den instabila utgåvan (Sid) har detta problem rättats i version 0.9.6b20-13 samt i version 1.2.1-1 av acidbase.
Vi rekommenderar att ni uppgraderar ert acidlab- och acidbase-paket.
MD5-kontrollsummor för dessa filer finns i originalbulletinen.