Säkerhetsbulletin från Debian

DSA-893-1 acidlab -- städar inte indata

Rapporterat den:

2005-11-14

Berörda paket:

Sårbara:

Referenser i säkerhetsdatabaser:

I Debians felrapporteringssystem: Fel 335998, Fel 336788.
I Bugtraq-databasen (hos SecurityFocus): BugTraq-id 15199.
I Mitres CVE-förteckning: CVE-2005-3325.

Ytterligare information:

Remco Verhoef upptäckte en sårbarhet i acidlab, en analyskonsol för intrångsdatabaser, samt i acidbase, en grundläggande analys- och säkerhetsmotor, vilken kunde utnyttjas av illvilliga användare till att utföra SQL-injiceringsangrepp.

De ansvariga för Analysis Console for Intrusion Databases (ACID) i Debian, som BASE baserar sig på, undersökte både BASE och ACID och har kommit fram till att felet inte bara påverkar komponenterna base_qry_main.php (i BASE) och acid_qry_main.php (i ACID), utan även upptäckts i andra delar av konsolen på grund av felaktig parametervalidering och -filtrering.

Alla SQL-injiceringsfel och serveröverskridande skriptfel har rättats i Debianpaketet, vilket stänger alla de upptäckta angreppsvektorerna.

För den gamla stabila utgåvan (Woody) har detta problem rättats i version 0.9.6b20-2.1.

För den stabila utgåvan (Sarge) har detta problem rättats i version 0.9.6b20-10.1.

För den instabila utgåvan (Sid) har detta problem rättats i version 0.9.6b20-13 samt i version 1.2.1-1 av acidbase.

Vi rekommenderar att ni uppgraderar ert acidlab- och acidbase-paket.

Rättat i:

Debian GNU/Linux 3.0 (woody)

Källkod:: http://security.debian.org/pool/updates/main/a/acidlab/acidlab_0.9.6b20-2.1.dsc; http://security.debian.org/pool/updates/main/a/acidlab/acidlab_0.9.6b20-2.1.diff.gz; http://security.debian.org/pool/updates/main/a/acidlab/acidlab_0.9.6b20.orig.tar.gz
Arkitekturoberoende komponent:: http://security.debian.org/pool/updates/main/a/acidlab/acidlab_0.9.6b20-2.1_all.deb

Debian GNU/Linux 3.1 (sarge)

Källkod:: http://security.debian.org/pool/updates/main/a/acidlab/acidlab_0.9.6b20-10.1.dsc; http://security.debian.org/pool/updates/main/a/acidlab/acidlab_0.9.6b20-10.1.diff.gz; http://security.debian.org/pool/updates/main/a/acidlab/acidlab_0.9.6b20.orig.tar.gz
Arkitekturoberoende komponent:: http://security.debian.org/pool/updates/main/a/acidlab/acidlab-doc_0.9.6b20-10.1_all.deb; http://security.debian.org/pool/updates/main/a/acidlab/acidlab-mysql_0.9.6b20-10.1_all.deb; http://security.debian.org/pool/updates/main/a/acidlab/acidlab-pgsql_0.9.6b20-10.1_all.deb; http://security.debian.org/pool/updates/main/a/acidlab/acidlab_0.9.6b20-10.1_all.deb

MD5-kontrollsummor för dessa filer finns i originalbulletinen.