Debians sikkerhedsbulletin
DSA-434-1 gaim -- flere sårbarhed
- Rapporteret den:
- 5. feb 2004
- Berørte pakker:
- gaim
- Sårbar:
- Ja
- Referencer i sikkerhedsdatabaser:
- I Bugtraq-databasen (hos SecurityFocus): BugTraq-id 9489.
I Mitres CVE-ordbog: CVE-2004-0005, CVE-2004-0006, CVE-2004-0007, CVE-2004-0008. - Yderligere oplysninger:
-
Stefan Esser har opdaget flere sikkerhedsrelaterede problemer i Gaim, en chat-klient som understøtter flere protokoller. Ikke alle problemerne påvirker udgaven i Debians stabile distribution, men påvirkede i hvert fald udgaven i den ustabile distribution. Problemerne er grupperet af projektet Common Vulnerabilities and Exposures som følger:
- CAN-2004-0005
Når håndteringsrutinen til Yahoo Messenger afkoder en oktal værdi til e-mail-notifikationsfunktionerne, kan to forskellige former for overløb udløses. Når MIME-afkoderen afkodede en streng indkapslet som "quoted printable" kunne to andre former for overløb opstå i forbindelse med e-mail-notifikationer. Disse problemer påvirker kun udgaven i den ustabile distribution.
- CAN-2004-0006
Ved fortolkning af "cookies" i en HTTP-svarheader ved en Yahoo-webforbindelse, kunne et bufferoverløb opstå. Ved fortolkning af Yahoo Login-websiden, løber stakbufferne til YMSG-protokollen over hvis websiden returnerer for store værdier. Ved opsplitning af en URL i dens dele, kan det medføre et stakoverløb. Disse problemer påvirker kun udgaven i Debians ustabile distribution.
Når et for stort nøglenavn læses fra Yahoo Messenger-pakke, kan det udløse et stakoverløb. Når Gaim er opsat til at anvende en HTTP-proxy til at forbinde sig til serveren, kan en ondsindet HTTP-proxy udnytte sårbarheden. Disse problemer alle Debians udgaver af Gaim. Dog fungerer forbindelsen til Yahoo ikke i udgaven i Debians stabile distribution.
- CAN-2004-0007
Interne data kopieres mellem to "tokens" ind i en stakbuffer med en fast størrelse uden at foretage en størrelseskontrol. Dette påvirker kun udgaven af Gaim i den ustabile distribution.
- CAN-2004-0008
Ved allokering af hukommelse til AIM/Oscar DirectIM-pakker, kan et heltalsoverløb opstå, medførende et heap-overløb. Dette påvirker kun udgaven af Gaim i den ustabile distribution.
I den stabile distribution (woody) er disse problemer rettet i version 0.58-2.4.
I den ustabile distribution (sid) er disse problemer rettet i version 0.75-2.
Vi anbefaler at du opgraderer dine gaim-pakker.
- CAN-2004-0005
- Rettet i:
-
Debian GNU/Linux 3.0 (woody)
- Kildekode:
- http://security.debian.org/pool/updates/main/g/gaim/gaim_0.58-2.4.dsc
- http://security.debian.org/pool/updates/main/g/gaim/gaim_0.58-2.4.diff.gz
- http://security.debian.org/pool/updates/main/g/gaim/gaim_0.58.orig.tar.gz
- http://security.debian.org/pool/updates/main/g/gaim/gaim_0.58-2.4.diff.gz
- Alpha:
- http://security.debian.org/pool/updates/main/g/gaim/gaim_0.58-2.4_alpha.deb
- http://security.debian.org/pool/updates/main/g/gaim/gaim-common_0.58-2.4_alpha.deb
- http://security.debian.org/pool/updates/main/g/gaim/gaim-gnome_0.58-2.4_alpha.deb
- http://security.debian.org/pool/updates/main/g/gaim/gaim-common_0.58-2.4_alpha.deb
- ARM:
- http://security.debian.org/pool/updates/main/g/gaim/gaim_0.58-2.4_arm.deb
- http://security.debian.org/pool/updates/main/g/gaim/gaim-common_0.58-2.4_arm.deb
- http://security.debian.org/pool/updates/main/g/gaim/gaim-gnome_0.58-2.4_arm.deb
- http://security.debian.org/pool/updates/main/g/gaim/gaim-common_0.58-2.4_arm.deb
- Intel IA-32:
- http://security.debian.org/pool/updates/main/g/gaim/gaim_0.58-2.4_i386.deb
- http://security.debian.org/pool/updates/main/g/gaim/gaim-common_0.58-2.4_i386.deb
- http://security.debian.org/pool/updates/main/g/gaim/gaim-gnome_0.58-2.4_i386.deb
- http://security.debian.org/pool/updates/main/g/gaim/gaim-common_0.58-2.4_i386.deb
- Intel IA-64:
- http://security.debian.org/pool/updates/main/g/gaim/gaim_0.58-2.4_ia64.deb
- http://security.debian.org/pool/updates/main/g/gaim/gaim-common_0.58-2.4_ia64.deb
- http://security.debian.org/pool/updates/main/g/gaim/gaim-gnome_0.58-2.4_ia64.deb
- http://security.debian.org/pool/updates/main/g/gaim/gaim-common_0.58-2.4_ia64.deb
- HPPA:
- http://security.debian.org/pool/updates/main/g/gaim/gaim_0.58-2.4_hppa.deb
- http://security.debian.org/pool/updates/main/g/gaim/gaim-common_0.58-2.4_hppa.deb
- http://security.debian.org/pool/updates/main/g/gaim/gaim-gnome_0.58-2.4_hppa.deb
- http://security.debian.org/pool/updates/main/g/gaim/gaim-common_0.58-2.4_hppa.deb
- Motorola 680x0:
- http://security.debian.org/pool/updates/main/g/gaim/gaim_0.58-2.4_m68k.deb
- http://security.debian.org/pool/updates/main/g/gaim/gaim-common_0.58-2.4_m68k.deb
- http://security.debian.org/pool/updates/main/g/gaim/gaim-gnome_0.58-2.4_m68k.deb
- http://security.debian.org/pool/updates/main/g/gaim/gaim-common_0.58-2.4_m68k.deb
- Big endian MIPS:
- http://security.debian.org/pool/updates/main/g/gaim/gaim_0.58-2.4_mips.deb
- http://security.debian.org/pool/updates/main/g/gaim/gaim-common_0.58-2.4_mips.deb
- http://security.debian.org/pool/updates/main/g/gaim/gaim-gnome_0.58-2.4_mips.deb
- http://security.debian.org/pool/updates/main/g/gaim/gaim-common_0.58-2.4_mips.deb
- Little endian MIPS:
- http://security.debian.org/pool/updates/main/g/gaim/gaim_0.58-2.4_mipsel.deb
- http://security.debian.org/pool/updates/main/g/gaim/gaim-common_0.58-2.4_mipsel.deb
- http://security.debian.org/pool/updates/main/g/gaim/gaim-gnome_0.58-2.4_mipsel.deb
- http://security.debian.org/pool/updates/main/g/gaim/gaim-common_0.58-2.4_mipsel.deb
- PowerPC:
- http://security.debian.org/pool/updates/main/g/gaim/gaim_0.58-2.4_powerpc.deb
- http://security.debian.org/pool/updates/main/g/gaim/gaim-common_0.58-2.4_powerpc.deb
- http://security.debian.org/pool/updates/main/g/gaim/gaim-gnome_0.58-2.4_powerpc.deb
- http://security.debian.org/pool/updates/main/g/gaim/gaim-common_0.58-2.4_powerpc.deb
- IBM S/390:
- http://security.debian.org/pool/updates/main/g/gaim/gaim_0.58-2.4_s390.deb
- http://security.debian.org/pool/updates/main/g/gaim/gaim-common_0.58-2.4_s390.deb
- http://security.debian.org/pool/updates/main/g/gaim/gaim-gnome_0.58-2.4_s390.deb
- http://security.debian.org/pool/updates/main/g/gaim/gaim-common_0.58-2.4_s390.deb
- Sun Sparc:
- http://security.debian.org/pool/updates/main/g/gaim/gaim_0.58-2.4_sparc.deb
- http://security.debian.org/pool/updates/main/g/gaim/gaim-common_0.58-2.4_sparc.deb
- http://security.debian.org/pool/updates/main/g/gaim/gaim-gnome_0.58-2.4_sparc.deb
- http://security.debian.org/pool/updates/main/g/gaim/gaim-common_0.58-2.4_sparc.deb
MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.