Sikkerhedsoplysninger / 2016 / Sikkerhedsoplysninger -- DSA-3736-1 libupnp

Debians sikkerhedsbulletin

DSA-3736-1 libupnp -- sikkerhedsopdatering

Rapporteret den:

16. dec 2016

Berørte pakker:

libupnp

Sårbar:

Ja

Referencer i sikkerhedsdatabaser:

I Debians fejlsporingssystem: Fejl 831857, Fejl 842093.
I Mitres CVE-ordbog: CVE-2016-6255, CVE-2016-8863.

Yderligere oplysninger:

To sårbarheder blev opdaget i libupnp, et portabelt SDK til UPnP-enheder.

• CVE-2016-6255

  Matthew Garret opdagede at libupnp som standard tillod at enhver bruger kunne skrive til filsystemet på værter, der kører en libupnp-baseret serverapplikation.

• CVE-2016-8863

  Scott Tenaglia opdagede en heapbufferoverløbssårbarhed, der kunne føre til lammelsesangreb (denial of service) eller fjernudførelse af kode.

I den stabile distribution (jessie), er disse problemer rettet i version 1:1.6.19+git20141001-1+deb8u1.

I distributionen testing (stretch) og i den ustabile distributions (sid), er disse problemer rettet i version 1:1.6.19+git20160116-1.2.

Vi anbefaler at du opgraderer dine libupnp-pakker.