Рекомендация Debian по безопасности

DSA-1420-1 zabbix -- ошибка программирования

Дата сообщения:

05.12.2007

Затронутые пакеты:

zabbix

Уязвим:

Да

Ссылки на базы данных по безопасности:

В системе отслеживания ошибок Debian: Ошибка 452682.
В каталоге Mitre CVE: CVE-2007-6210.

Более подробная информация:

Бас ван Шайк обнаружил, что процесс agentd системы Zabbix, системы мониторинга сети, может запускать передаваемые пользователем команды от лица группы суперпользователя, а не zabbix, что может приводить к повышению привилегий.

zabbix отсутствует в предыдущем стабильном выпуске (sarge).

В стабильном выпуске (etch) эта проблема была исправлена в версии 1:1.1.4-10etch1.

Рекомендуется обновить пакеты zabbix.

Исправлено в:

Debian GNU/Linux 4.0 (etch)

Исходный код:: http://security.debian.org/pool/updates/main/z/zabbix/zabbix_1.1.4-10etch1.dsc; http://security.debian.org/pool/updates/main/z/zabbix/zabbix_1.1.4-10etch1.diff.gz; http://security.debian.org/pool/updates/main/z/zabbix/zabbix_1.1.4.orig.tar.gz
Независимые от архитектуры компоненты:: http://security.debian.org/pool/updates/main/z/zabbix/zabbix-frontend-php_1.1.4-10etch1_all.deb
Alpha:: http://security.debian.org/pool/updates/main/z/zabbix/zabbix-server-mysql_1.1.4-10etch1_alpha.deb; http://security.debian.org/pool/updates/main/z/zabbix/zabbix-agent_1.1.4-10etch1_alpha.deb; http://security.debian.org/pool/updates/main/z/zabbix/zabbix-server-pgsql_1.1.4-10etch1_alpha.deb
AMD64:: http://security.debian.org/pool/updates/main/z/zabbix/zabbix-agent_1.1.4-10etch1_amd64.deb; http://security.debian.org/pool/updates/main/z/zabbix/zabbix-server-mysql_1.1.4-10etch1_amd64.deb; http://security.debian.org/pool/updates/main/z/zabbix/zabbix-server-pgsql_1.1.4-10etch1_amd64.deb
ARM:: http://security.debian.org/pool/updates/main/z/zabbix/zabbix-agent_1.1.4-10etch1_arm.deb; http://security.debian.org/pool/updates/main/z/zabbix/zabbix-server-mysql_1.1.4-10etch1_arm.deb; http://security.debian.org/pool/updates/main/z/zabbix/zabbix-server-pgsql_1.1.4-10etch1_arm.deb
HP Precision:: http://security.debian.org/pool/updates/main/z/zabbix/zabbix-agent_1.1.4-10etch1_hppa.deb; http://security.debian.org/pool/updates/main/z/zabbix/zabbix-server-mysql_1.1.4-10etch1_hppa.deb; http://security.debian.org/pool/updates/main/z/zabbix/zabbix-server-pgsql_1.1.4-10etch1_hppa.deb
Big-endian MIPS:: http://security.debian.org/pool/updates/main/z/zabbix/zabbix-server-mysql_1.1.4-10etch1_mips.deb; http://security.debian.org/pool/updates/main/z/zabbix/zabbix-server-pgsql_1.1.4-10etch1_mips.deb; http://security.debian.org/pool/updates/main/z/zabbix/zabbix-agent_1.1.4-10etch1_mips.deb
Little-endian MIPS:: http://security.debian.org/pool/updates/main/z/zabbix/zabbix-agent_1.1.4-10etch1_mipsel.deb; http://security.debian.org/pool/updates/main/z/zabbix/zabbix-server-pgsql_1.1.4-10etch1_mipsel.deb; http://security.debian.org/pool/updates/main/z/zabbix/zabbix-server-mysql_1.1.4-10etch1_mipsel.deb
PowerPC:: http://security.debian.org/pool/updates/main/z/zabbix/zabbix-server-pgsql_1.1.4-10etch1_powerpc.deb; http://security.debian.org/pool/updates/main/z/zabbix/zabbix-server-mysql_1.1.4-10etch1_powerpc.deb; http://security.debian.org/pool/updates/main/z/zabbix/zabbix-agent_1.1.4-10etch1_powerpc.deb
IBM S/390:: http://security.debian.org/pool/updates/main/z/zabbix/zabbix-server-mysql_1.1.4-10etch1_s390.deb; http://security.debian.org/pool/updates/main/z/zabbix/zabbix-agent_1.1.4-10etch1_s390.deb; http://security.debian.org/pool/updates/main/z/zabbix/zabbix-server-pgsql_1.1.4-10etch1_s390.deb
Sun Sparc:: http://security.debian.org/pool/updates/main/z/zabbix/zabbix-server-pgsql_1.1.4-10etch1_sparc.deb; http://security.debian.org/pool/updates/main/z/zabbix/zabbix-agent_1.1.4-10etch1_sparc.deb; http://security.debian.org/pool/updates/main/z/zabbix/zabbix-server-mysql_1.1.4-10etch1_sparc.deb

Контрольные суммы MD5 этих файлов доступны в исходном сообщении.