Debian-Sicherheitsankündigung

DSA-056-1 man-db -- Lokales Überschreiben von Dateien

Datum des Berichts:
08. Mai 2001
Betroffene Pakete:
man-db
Verwundbar:
Ja
Sicherheitsdatenbanken-Referenzen:
In der Bugtraq-Datenbank (bei SecurityFocus): BugTraq ID 2720.
In Mitres CVE-Verzeichnis: CVE-2001-1331.
Weitere Informationen:
Ethan Benson hat einen Fehler in den man-db-Paketen aus Debian GNU/Linux 2.2 entdeckt. man-db beinhaltet ein mandb-Tool, welches dazu verwendet wird, einen Index der installierten man-Pages zu erzeugen. Wenn -u oder -c als Optionen auf der Kommandozeile angegeben wurden, um seine Datenbank an eine andere Stelle zu schreiben, scheitert es beim Anlegen einer temporären Datei, seine Rechte richtig abzugeben. Das erlaubt dem Angreifer einen normalen Symlink-Angriff durchzuführen, die mandb alle Dateien mit der UID man, inklusive der man- und mandb-Binaries, beschreibbar macht.

Dieses wurde in Version 2.3.16-3 behoben und wir empfehlen Ihnen, dass Sie Ihr man-db-Paket umgehend aktualisieren. Wenn Sie suidmanager benutzen, können Sie es dazu verwenden, um sicherzugehen, dass man und mandb nicht als SUID installiert sind, was Sie vor dem Problem beschützt. Das wird mit folgenden Befehlen erreicht: 

  suidregister /usr/lib/man-db/man root root 0755
  suidregister /usr/lib/man-db/mandb root root 0755

Natürlich ist auch mit suidmanager das Upgrade weiterhin dringend empfohlen.

Behoben in:

Debian GNU/Linux 2.2 (potato)

Quellcode:
http://security.debian.org/dists/stable/updates/main/source/man-db_2.3.16-3.dsc
http://security.debian.org/dists/stable/updates/main/source/man-db_2.3.16-3.tar.gz
Alpha:
http://security.debian.org/dists/stable/updates/main/binary-alpha/man-db_2.3.16-3_alpha.deb
ARM:
http://security.debian.org/dists/stable/updates/main/binary-arm/man-db_2.3.16-3_arm.deb
Intel IA-32:
http://security.debian.org/dists/stable/updates/main/binary-i386/man-db_2.3.16-3_i386.deb
Motorola 680x0:
http://security.debian.org/dists/stable/updates/main/binary-m68k/man-db_2.3.16-3_m68k.deb
PowerPC:
http://security.debian.org/dists/stable/updates/main/binary-powerpc/man-db_2.3.16-3_powerpc.deb
Sun Sparc:
http://security.debian.org/dists/stable/updates/main/binary-sparc/man-db_2.3.16-3_sparc.deb

MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.