Debians sikkerhedsbulletin

DSA-229-1 imp -- SQL-indsprøjtning

Rapporteret den:

15. jan 2003

Berørte pakker:

imp

Sårbar:

Referencer i sikkerhedsdatabaser:

I Bugtraq-databasen (hos SecurityFocus): BugTraq-id 6559.
I Mitres CVE-ordbog: CVE-2003-0025.

Yderligere oplysninger:

Jouko Pynnonen har opdaget et problem med IMP, et webbaseret IMAP-postprogram. Ved hjælp af omhyggeligt fremstillede URL'er, kan en fjernangriber indsprøjte SQL-kode ind i SQL-forspørgsler uden korrekt brugerautentifikation. Selvom resultaterne af SQL-forespørgslerne ikke er direkte læsbare på skærmen, kan en angriber opdateres sin e-mail-signatur til at indeholde de ønskede forespørgselsresultater, og dernæst se dem på sin indstillingsside i IMP.

Omfanget af SQL-indsprøjtningen er kraftigt afhængig af den underliggende database og dens opsætning. Hvis PostgreSQL anvendes, er det muligt at udføre flere komplette SQL-forespørgsler adskilt af semikoloner. Databasen indeholder session-id'er, så angriberen kan kapre sessioner tilhørende folk der logget på for at læse deres post. I værste fald, hvis hordemgr-brugeren har de fornødne rettigheder til at anvende COPY SQL-kommandoen (der i hvert fald findes i PostgreSQL), kan en fjernbruger læse eller skrive til alle filer som databasebrugeren (postgres) kan. Angriberen kan dernæst få mulighed for at udføre vilkårlige shell-kommandoer, ved at skrive dem til postgres-brugerens ~/.psqlrc; de blive udført når brugeren starter psql-kommandoen, hvilket i nogle opsætninger sker jævnligt fra et cron-script.

I den aktuelle stabile distribution (woody) er dette problem rettet i version 2.2.6-5.1.

I den gamle stabile distribution (potato) er dette problem rettet i version 2.2.6-0.potato.5.1.

I den ustabile distribution (sid) er dette problem rettet i version 2.2.6-7.

Vi anbefaler at du opgraderer dine IMP-pakker.

Rettet i:

Debian GNU/Linux 2.2 (potato)

Kildekode:: http://security.debian.org/pool/updates/main/i/imp/imp_2.2.6-0.potato.5.1.dsc; http://security.debian.org/pool/updates/main/i/imp/imp_2.2.6-0.potato.5.1.diff.gz
Arkitekturuafhængig komponent:: http://security.debian.org/pool/updates/main/i/imp/imp_2.2.6-0.potato.5.1_all.deb

Debian GNU/Linux 3.0 (woody)

Kildekode:: http://security.debian.org/pool/updates/main/i/imp/imp_2.2.6-5.1.dsc; http://security.debian.org/pool/updates/main/i/imp/imp_2.2.6-5.1.diff.gz
Arkitekturuafhængig komponent:: http://security.debian.org/pool/updates/main/i/imp/imp_2.2.6-5.1_all.deb

MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.

MD5-kontrolsummer for de listede filer findes i den reviderede sikkerhedsbulletin.