Debian セキュリティ勧告

DSA-1148-1 gallery -- 複数の脆弱性

報告日時:

2006-08-09

影響を受けるパッケージ:

危険性:

あり

参考セキュリティデータベース:

Debian バグ追跡システム: バグ 325285.
Mitre の CVE 辞書: CVE-2005-2734, CVE-2006-0330, CVE-2006-4030.

詳細:

複数のリモートからの脆弱性が、Web ベースのフォトアルバム gallery に発見されました。Common Vulnerabilities and Exposures プロジェクトでは以下の問題を特定しています。

CVE-2005-2734
クロスサイトスクリプティング脆弱性により、HTML や EXIF 情報を経由したウェブスクリプトコードの注入が可能です。
CVE-2006-0330
ユーザ登録にクロスサイトスクリプティング脆弱性があり、ウェブスクリプトコードの注入が可能です。
CVE-2006-4030
stats モジュールに、入力に対するサニタイズ処理の欠落があり、情報が開示されてしまう可能性があります。

安定版ディストリビューション (stable、コードネーム sarge) では、これらの問題はバージョン 1.5-1sarge2 で修正されています。

不安定版ディストリビューション (unstable、コードネーム sid) では、これらの問題はバージョン 1.5-2 で修正されています。

gallery パッケージのアップグレードをお勧めします。

修正:

Debian GNU/Linux 3.1 (sarge)

ソース:: http://security.debian.org/pool/updates/main/g/gallery/gallery_1.5-1sarge2.dsc; http://security.debian.org/pool/updates/main/g/gallery/gallery_1.5-1sarge2.diff.gz; http://security.debian.org/pool/updates/main/g/gallery/gallery_1.5.orig.tar.gz
アーキテクチャ非依存コンポーネント:: http://security.debian.org/pool/updates/main/g/gallery/gallery_1.5-1sarge2_all.deb

一覧にあるファイルの MD5 チェックサムは勧告の原文にあります。