[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]
[debian-users:34959] [Translate] [SECURITY] [DSA 181-1] New mod_ssl packages fix cross site scripting
かねこです。
URL 等は元記事を確認ください。
------>8------------>8------------>8------------>8------------>8
- --------------------------------------------------------------------------
Debian Security Advisory DSA 181-1 security@debian.org
http://www.debian.org/security/ Martin Schulze
October 22nd, 2002 http://www.debian.org/security/faq
- --------------------------------------------------------------------------
Package : libapache-mod-ssl
Vulnerability : クロスサイトスクリプティング
Problem-Type : remote
Debian-specific: no
CVE Id : CAN-2002-1157
Joe Orton さんにより、高強度の暗号化を web サーバに追加する (i.e. HTTPS
サポート) mod_ssl Apache モジュールにクロスサイトスクリプティングの問題
が発見されました。このモジュールは、SSL ポートの HTTP リクエストに対して
応答中のサーバ名をエスケープなしに返してしまいます。
最近の Apache のクロスサイトスクリプティングバグ同様、これはサーバで
"UseCanonicalName off" の設定 (Debian パッケージの Apache ではこれが規定
値です) をし、かつ Wildcard DNS を使っているサーバのみ影響を受けます。こ
れはありそうにない状況ではあります。また、Apache 2.0/mod_ssl では既にこ
の HTML をエスケープしているので、この弱点はありません。
上記の設定を有効にした場合、Apache が自己参照を行う URL を作成する必要が
ある場合 (応答を返したサーバを指定する URL を使う場合)、サーバ名とポート
を正規名を作成するのに用います。上記の設定を用いない場合には、Apache は
クライアントの供給する hostname:port を可能な限り用います。またこれは CGI
スクリプトの SERVER_NAME と SERVER_PORT の値にも影響を与えます。
この問題は、現安定版 (stable) woody のバージョン 2.8.9-2.1 で、前安定版
(stable) potato ではバージョン 2.4.10-1.3.9-1potato4 で、不安定版
(unstable) sid の
バージョン 2.8.9-2.3 で、各々修正されています。
直ぐに libapache-mod-ssl パッケージをアップグレードすることを勧めます。
wget url
でファイルを取得できます。
dpkg -i file.deb
で参照されたファイルをインストールできます。
apt-get パッケージマネージャを使っているなら、以下記載の sources.list
を用いて、次のコマンドを使ってください。
apt-get update
これは内部データベースを更新します。
apt-get upgrade
これで修正されたパッケージをインストールします。
本メールのフッタ記載の設定を自ホストの設定に加えることにより、自動更新を
行うこともできます。
Debian GNU/Linux 2.2 愛称 potato
- --------------------------------
ソースアーカイブ:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.4.10-1.3.9-1potato4.dsc
Size/MD5 checksum: 705 db7c60ce194c218b07b79968585a3065
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.4.10-1.3.9-1potato4.diff.gz
Size/MD5 checksum: 20194 4c9fd112ca2a50ccbb21f76917012b88
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.4.10-1.3.9.orig.tar.gz
Size/MD5 checksum: 695247 cb0f2e07065438396f0d5df403dd2c16
Architecture independent components:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl-doc_2.4.10-1.3.9-1potato4_all.deb
Size/MD5 checksum: 278090 12bc6e09fb5ec76f4b37ed5c295470eb
Alpha architecture:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.4.10-1.3.9-1potato4_alpha.deb
Size/MD5 checksum: 211734 c4d690aed7c335ceeb204dd913e36a39
ARM architecture:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.4.10-1.3.9-1potato4_arm.deb
Size/MD5 checksum: 203106 5847b3d90d092dfa6e806a6d9ee8fe90
Intel IA-32 architecture:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.4.10-1.3.9-1potato4_i386.deb
Size/MD5 checksum: 199266 6c89113c7cf5d0e82c436fe967c7b2f3
Motorola 680x0 architecture:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.4.10-1.3.9-1potato4_m68k.deb
Size/MD5 checksum: 203612 0631d1e03e921c5a10ff2f4f6e0093f8
PowerPC architecture:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.4.10-1.3.9-1potato4_powerpc.deb
Size/MD5 checksum: 201282 98666b5d76aa20e5a5e1b5ee331a9b71
Sun Sparc architecture:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.4.10-1.3.9-1potato4_sparc.deb
Size/MD5 checksum: 202150 9f9df58c9cf85683d65ddd92f2c8551e
Debian GNU/Linux 3.0 愛称 woody
- ------------------------------------
ソースアーカイブ:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.8.9-2.1.dsc
Size/MD5 checksum: 678 8326399384a276295ed312f3314f8b2a
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.8.9-2.1.diff.gz
Size/MD5 checksum: 21672 3c6e87aad1113d19c04e2824e7fc6345
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.8.9.orig.tar.gz
Size/MD5 checksum: 752613 aad438a4eaeeee29ae74483f7afe9db0
Architecture independent components:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl-doc_2.8.9-2.1_all.deb
Size/MD5 checksum: 287898 7c5f6a20d23ec97bd7d0f8ec5bd14172
Alpha architecture:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.8.9-2.1_alpha.deb
Size/MD5 checksum: 247800 0e6312d4ce0a5acd4f0291aff658f8ee
ARM architecture:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.8.9-2.1_arm.deb
Size/MD5 checksum: 240094 9bf9083652950cc47033d4774de9737f
Intel IA-32 architecture:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.8.9-2.1_i386.deb
Size/MD5 checksum: 238156 9756a3701103f8779c65455c968898c3
Intel IA-64 architecture:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.8.9-2.1_ia64.deb
Size/MD5 checksum: 268682 b00a8b74ecda50dea58ab8ab199f8f33
HP Precision architecture:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.8.9-2.1_hppa.deb
Size/MD5 checksum: 248092 102048ee2fa63c33d8076fc3a44b8305
Motorola 680x0 architecture:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.8.9-2.1_m68k.deb
Size/MD5 checksum: 240990 4a8853fadd213fca4057dee5897f3225
Big endian MIPS architecture:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.8.9-2.1_mips.deb
Size/MD5 checksum: 236080 53a779235110dff18ecaf8806ac8b3f8
Little endian MIPS architecture:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.8.9-2.1_mipsel.deb
Size/MD5 checksum: 236018 3e1ed4ecc89de7cd2acdf21138ddf8ed
PowerPC architecture:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.8.9-2.1_powerpc.deb
Size/MD5 checksum: 241870 e6fd0818db87cd255ce49109a334f01c
IBM S/390 architecture:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.8.9-2.1_s390.deb
Size/MD5 checksum: 241976 15ce16daec984b8414e544b67e970920
Sun Sparc architecture:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.8.9-2.1_sparc.deb
Size/MD5 checksum: 244152 b5fc2de1d7552c528262989c5983b63f
これらのファイルは次の版の安定版リリース時そちらに移されます。
- ---------------------------------------------------------------------------------
For apt-get: deb http://security.debian.org/ stable/updates main
For dpkg-ftp: ftp://security.debian.org/debian-security dists/stable/updates/main
Mailing list: debian-security-announce@lists.debian.org
Package info: `apt-cache show <pkg>' and http://packages.debian.org/<pkg>
------>8------------>8------------>8------------>8------------>8
--
Seiji Kaneko skaneko@xxxxxxxxxxxx
---------------------------------------------------------