Bulletin d'alerte Debian

DSA-892-1 awstats -- Mauvaise vérification des entrées

Date du rapport :

10 novembre 2005

Paquets concernés :

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le système de suivi des bogues Debian : Bogue 322591, Bogue 334833, Bogue 336137.
Dans le dictionnaire CVE du Mitre : CVE-2005-1527.

Plus de précisions :

Peter Vreugdenhil a découvert que awstats, un puissant et complet analyseur de journaux de serveur web, transmettait des données fournies par l'utilisateur à la fonction eval(), permettant aux attaquants distants d'exécuter des commandes Perl arbitraires.

L'ancienne distribution stable (Woody) n'est pas touchée par ce problème.

Pour l'actuelle distribution stable (Sarge), ce problème a été corrigé dans la version 6.4-1sarge1.

Pour la distribution instable (Sid), ce problème a été corrigé dans la version 6.4-1.1.

Nous vous recommandons de mettre à jour votre paquet awstats.

Corrigé dans :

Debian GNU/Linux 3.1 (sarge)

Source :: http://security.debian.org/pool/updates/main/a/awstats/awstats_6.4.orig.tar.gz; http://security.debian.org/pool/updates/main/a/awstats/awstats_6.4-1sarge1.diff.gz; http://security.debian.org/pool/updates/main/a/awstats/awstats_6.4-1sarge1.dsc
Composant indépendant de l'architecture :: http://security.debian.org/pool/updates/main/a/awstats/awstats_6.4-1sarge1_all.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.