Aviso de seguridad de Debian

DSA-893-1 acidlab -- entrada no saneada

Fecha del informe:

14 de nov de 2005

Paquetes afectados:

Vulnerable:

Sí

Referencias a bases de datos de seguridad:

En el sistema de seguimiento de errores de Debian: error 335998, error 336788.
En la base de datos de Bugtraq (en SecurityFocus): Id. en BugTraq 15199.
En el diccionario CVE de Mitre: CVE-2005-3325.

Información adicional:

Remco Verhoef ha descubierto una vulnerabilidad en acidlab, la consola de análisis para intrusiones en bases de datos, y en acidbase, el motor de análisis básico y de seguridad, de la que podía sacar provecho un usuario malvado para llevar a cabo ataques de inyección de SQL.

Los mantenedores de la consola de análisis para intrusiones en bases de datos (ACID) en Debian, de la que surgió BASE, después de realizar una auditoría tanto en BASE como en ACID, han determinado que la debilidad no sólo afectaba a base_qry_main.php (en BASE) y a acid_qry_main.php (en ACID), sino que también estaba presente en otros elementos de las consolas debido a una validación y a un filtrado incorrecto de los parámetros.

Todos los errores de inyección de SQL y de guiones a través del sitio que se han encontrado se han corregido en el paquete de Debian, cerrando todos los diversos vectores de ataque que se han detectado.

Para la distribución estable (woody), este problema se ha corregido en la versión 0.9.6b20-2.1.

Para la distribución estable (sarge), este problema se ha corregido en la versión 0.9.6b20-10.1.

Para la distribución inestable (sid), este problema se ha corregido en la versión 0.9.6b20-13 y en la versión 1.2.1-1 de acidbase.

Le recomendamos que actualice los paquetes acidlab y acidbase.

Arreglado en:

Debian GNU/Linux 3.0 (woody)

Fuentes:: http://security.debian.org/pool/updates/main/a/acidlab/acidlab_0.9.6b20-2.1.dsc; http://security.debian.org/pool/updates/main/a/acidlab/acidlab_0.9.6b20-2.1.diff.gz; http://security.debian.org/pool/updates/main/a/acidlab/acidlab_0.9.6b20.orig.tar.gz
Componentes independientes de la arquitectura:: http://security.debian.org/pool/updates/main/a/acidlab/acidlab_0.9.6b20-2.1_all.deb

Debian GNU/Linux 3.1 (sarge)

Fuentes:: http://security.debian.org/pool/updates/main/a/acidlab/acidlab_0.9.6b20-10.1.dsc; http://security.debian.org/pool/updates/main/a/acidlab/acidlab_0.9.6b20-10.1.diff.gz; http://security.debian.org/pool/updates/main/a/acidlab/acidlab_0.9.6b20.orig.tar.gz
Componentes independientes de la arquitectura:: http://security.debian.org/pool/updates/main/a/acidlab/acidlab-doc_0.9.6b20-10.1_all.deb; http://security.debian.org/pool/updates/main/a/acidlab/acidlab-mysql_0.9.6b20-10.1_all.deb; http://security.debian.org/pool/updates/main/a/acidlab/acidlab-pgsql_0.9.6b20-10.1_all.deb; http://security.debian.org/pool/updates/main/a/acidlab/acidlab_0.9.6b20-10.1_all.deb

Las sumas MD5 de los ficheros que se listan están disponibles en el aviso original.