Debianin tietoturvatiedote

DSA-209-1 wget -- hakemiston tietojen ylikirjoitus

Ilmoitettu:
12.12.2002
Vaikutuksen alaiset paketit:
wget
Altis:
Kyllä
Viittaukset tietoturvatietokantoihin:
Bugtraq-tietokannassa (SecurityFocuksella): BugTraq-tunniste 6352.
Mitren CVE-sanakirjassa: CVE-2002-1344, CVE-2002-1565.
Lisätietoa:

Debian GNU/Linux:in mukana tulevasta wget-paketista on löytynyt kaksi ongelmaa:

  • Stefano Zacchiroli huomasi että url_filename-funktio aiheuttaa puskurin ylivuodon, mikä puolestaan johtaa wget:in segmentointivirheeseen käytettäessä erittäin pitkiä URL-osoitteita.
  • Steven M. Christey havaitsi että wget ei tarkista FTP-palvelimen vastausta NLST-komentoon: se ei saa sisältää hakemistotietoja, sillä FTP-asiakas voi niiden avulla ylikirjoittaa mielivaltaisia tiedostoja.

Molemmat ongelmat on korjattu Debian GNU/Linux 2.2-jakelun (potato) versiossa 1.5.3-3.1 ja Debian GNU/Linux 3.0-jakelun (woody) versiossa 1.8.1-6.1 .

Korjattu:

Debian GNU/Linux 2.2 (potato)

Lähde:
http://security.debian.org/pool/updates/main/w/wget/wget_1.5.3-3.1.diff.gz
http://security.debian.org/pool/updates/main/w/wget/wget_1.5.3.orig.tar.gz
http://security.debian.org/pool/updates/main/w/wget/wget_1.5.3-3.1.dsc
alpha (DEC Alpha):
http://security.debian.org/pool/updates/main/w/wget/wget_1.5.3-3.1_alpha.deb
arm (ARM):
http://security.debian.org/pool/updates/main/w/wget/wget_1.5.3-3.1_arm.deb
i386 (Intel ia32):
http://security.debian.org/pool/updates/main/w/wget/wget_1.5.3-3.1_i386.deb
m68k (Motorola Mc680x0):
http://security.debian.org/pool/updates/main/w/wget/wget_1.5.3-3.1_m68k.deb
powerpc (PowerPC):
http://security.debian.org/pool/updates/main/w/wget/wget_1.5.3-3.1_powerpc.deb
sparc (Sun SPARC/UltraSPARC):
http://security.debian.org/pool/updates/main/w/wget/wget_1.5.3-3.1_sparc.deb

Debian GNU/Linux 3.0 (woody)

Lähde:
http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1.orig.tar.gz
http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1.diff.gz
http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1.dsc
alpha (DEC Alpha):
http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1_alpha.deb
arm (ARM):
http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1_arm.deb
hppa (HP PA RISC):
http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1_hppa.deb
i386 (Intel ia32):
http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1_i386.deb
ia64 (Intel ia64):
http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1_ia64.deb
m68k (Motorola Mc680x0):
http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1_m68k.deb
mips (MIPS (Big Endian)):
http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1_mips.deb
powerpc (PowerPC):
http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1_powerpc.deb
s390 (IBM S/390):
http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1_s390.deb
sparc (Sun SPARC/UltraSPARC):
http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1_sparc.deb

Listattujen tiedostojen MD5-tarkistussummat ovat luettavissa alkuperäisestä tiedotteesta.