Debian-Sicherheitsankündigung

DSA-1287-1 ldap-account-manager -- Mehrere Verwundbarkeiten

Datum des Berichts:
07. Mai 2007
Betroffene Pakete:
ldap-account-manager
Verwundbar:
Ja
Sicherheitsdatenbanken-Referenzen:
In der Debian-Fehlerdatenbank: Fehler 415379.
In Mitres CVE-Verzeichnis: CVE-2006-7191, CVE-2007-1840.
Weitere Informationen:

Zwei Verwundbarkeiten wurden in der Version von ldap-account-manager, die mit Debian 3.1 (Sarge) ausgeliefert wurde, gefunden.

  • CVE-2006-7191

    Eine nichtvertrauenswürdige PATH-Verwundbarkeit könnte es einem lokalen Angreifer erlauben, beliebigen Code mit höheren Rechten auszuführen, indem ein bösartiges rm-Programm bereitgestellt wird und die PATH-Umgebungsvariable angepasst wird, um darauf zu verweisen.

  • CVE-2007-1840

    Ein unpassender Schutz von HTML-Inhalt könnte es einem Angreifer erlauben, einen Site-übergreifenden Skripting-Angriff (XSS) zu starten und beliebigen Code im Browser des Opfers in der Sicherheitsumgebung der betroffenen Website auszuführen.

Für die alte Stable-Distribution (Sarge) wurde dieses Problem in Version 0.4.9-2sarge1 behoben. Neuere Versionen von Debian (Etch, Lenny und Sid) sind nicht betroffen.

Wir empfehlen Ihnen, Ihr ldap-account-manager-Paket zu aktualisieren.

Behoben in:

Debian GNU/Linux 3.1 (oldstable)

Quellcode:
http://security.debian.org/pool/updates/main/l/ldap-account-manager/ldap-account-manager_0.4.9-2sarge1.dsc
http://security.debian.org/pool/updates/main/l/ldap-account-manager/ldap-account-manager_0.4.9-2sarge1.diff.gz
http://security.debian.org/pool/updates/main/l/ldap-account-manager/ldap-account-manager_0.4.9.orig.tar.gz
Architektur-unabhängige Dateien:
http://security.debian.org/pool/updates/main/l/ldap-account-manager/ldap-account-manager_0.4.9-2sarge1_all.deb

MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.