Debian セキュリティ勧告

DSA-1148-1 gallery -- 複数の脆弱性

報告日時:
2006-08-09
影響を受けるパッケージ:
gallery
危険性:
あり
参考セキュリティデータベース:
Debian バグ追跡システム: バグ 325285.
Mitre の CVE 辞書: CVE-2005-2734, CVE-2006-0330, CVE-2006-4030.
詳細:

複数のリモートからの脆弱性が、Web ベースのフォトアルバム gallery に発見されました。Common Vulnerabilities and Exposures プロジェクトでは以下の問題を特定しています。

  • CVE-2005-2734

    クロスサイトスクリプティング脆弱性により、HTML や EXIF 情報を経由したウェブスクリプトコードの注入が可能です。

  • CVE-2006-0330

    ユーザ登録にクロスサイトスクリプティング脆弱性があり、 ウェブスクリプトコードの注入が可能です。

  • CVE-2006-4030

    stats モジュールに、入力に対するサニタイズ処理の欠落があり、 情報が開示されてしまう可能性があります。

安定版ディストリビューション (stable、コードネーム sarge) では、これらの問題はバージョン 1.5-1sarge2 で修正されています。

不安定版ディストリビューション (unstable、コードネーム sid) では、これらの問題はバージョン 1.5-2 で修正されています。

gallery パッケージのアップグレードをお勧めします。

修正:

Debian GNU/Linux 3.1 (sarge)

ソース:
http://security.debian.org/pool/updates/main/g/gallery/gallery_1.5-1sarge2.dsc
http://security.debian.org/pool/updates/main/g/gallery/gallery_1.5-1sarge2.diff.gz
http://security.debian.org/pool/updates/main/g/gallery/gallery_1.5.orig.tar.gz
アーキテクチャ非依存コンポーネント:
http://security.debian.org/pool/updates/main/g/gallery/gallery_1.5-1sarge2_all.deb

一覧にあるファイルの MD5 チェックサムは勧告の原文にあります。