[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]
[debian-users:35322] [Translate] [SECURITY] [DSA 195-1] New Apache-Perl packages fix several vulnerabilities
かねこです。
URL 等は元記事を確認ください。
------>8------------>8------------>8------------>8------------>8
- --------------------------------------------------------------------------
Debian Security Advisory DSA 195-1 security@debian.org
http://www.debian.org/security/ Martin Schulze
November 13th, 2002 http://www.debian.org/security/faq
- --------------------------------------------------------------------------
Package : apache-perl
Vulnerability : 複数
Problem-Type : リモート及びローカル
Debian-specific: no
CVE Id : CAN-2002-0839 CAN-2002-0840 CAN-2002-0843 CAN-2001-0131 CAN-2002-1233
BugTraq ID : 5847 5884 5887
David Wagner さん、iDEFENSE 社、及び Apache HTTP Server Project から、広
く用いられている Apache ウェブサーバに複数のリモートから攻撃可能な脆弱性
が発見されたとの報告を受けました。Apache と Apache-perl パッケージでは殆
どのコードは共通のものですので、脆弱性も共通に存在します。
これらの脆弱性により、攻撃者はサーバをサービス不能にすることや、クロスサ
イトスクリプティング攻撃や、他のウェブサイトのユーザから Cookie を奪取し
たりすることが可能です。また、収録されている従来互換プログラム htdigest、
htpasswd や ApacheBench を CGI 経由で呼んでいる場合、これも攻撃可能です。
また、htdigest と htpasswd は安全でない一時ファイルの作成を行っているた
め、ローカルユーザから攻撃可能です。The Common Vulnerabilities and
Exposures (CVE) プロジェクトでは、以下の問題を認識しています。
1. CAN-2002-0839: System V 共有メモリを使ったスコアボードを使用している
プラットホームに脆弱性があります。Apache のユーザ ID でプロセスを実行
可能なユーザから、Apache のスコアボードフォーマットを攻撃することで、
root 権限で任意のプロセスにシグナルを送ることができ、サービス不能攻撃
を起こせます。
2. CAN-2002-0840: Apache は、Wildcard DNS 検索を許しているドメインでホス
ティングされている場合、標準の 404 エラーページがクロスサイトスクリプ
ティング攻撃可能です。
3. CAN-2002-0843: ApachBench (ab) ユーティリティにはオーバフローの可能性
があり、悪意を持って作成されたサーバから攻撃可能です。
4. CAN-2002-1233: htpasswd と htdigest プログラム間に競合を起こす可能性が
あり、これを悪意を持ったローカルユーザから攻撃することで、passwd ファ
イルの内容でファイルを容易に作成または上書きしたり、htpasswd または
htdigest プログラムを実行しているユーザの権限でファイルを作成または上
書きすることが可能です。
5. CAN-2001-0131: Apache 2.0a9、1.3.1 ほかの htpasswd と htdigest により、
シンボリックリンク攻撃を用いてローカルユーザが任意のファイルの上書きが
可能です。
これは CAN-2002-1233 と同じ脆弱性で、いったんは potato で直されていた
ものですが、その後修正が抜け、またアップストリームに反映されていなか
ったものです。
6. CAN なし: ApacheBench (ab) には幾つかのバッファオーバフロー箇所があり、
リモートのサーバから極めて長い文字列を返すことで攻撃可能です。
この問題は、現安定版 (stable) woody のバージョン 1.3.26-1-1.26-0woody2
で、前安定版 (stable) potato ではバージョン 1.3.9-14.1-1.21.20000309-1.1
で、不安定版 (unstable) sid ではバージョン 1.3.26-1.1-1.27-3-1で、各々修
正されています。
直ぐに Apache-perl パッケージをアップグレードすることを勧めます。
wget url
でファイルを取得できます。
dpkg -i file.deb
で参照されたファイルをインストールできます。
apt-get パッケージマネージャを使っているなら、以下記載の sources.list
を用いて、次のコマンドを使ってください。
apt-get update
これは内部データベースを更新します。
apt-get upgrade
これで修正されたパッケージをインストールします。
本メールのフッタ記載の設定を自ホストの設定に加えることにより、自動更新を
行うこともできます。
Debian GNU/Linux 2.2 愛称 potato
- --------------------------------
ソースアーカイブ:
http://security.debian.org/pool/updates/main/a/apache-perl/apache-perl_1.3.9-14.1-1.21.20000309-1.1.dsc
Size/MD5 checksum: 612 8fa1cd6e001b2621a749f4b5c649e970
http://security.debian.org/pool/updates/main/a/apache-perl/apache-perl_1.3.9-14.1-1.21.20000309-1.1.tar.gz
Size/MD5 checksum: 2403933 6d1ced52706288e401f84064cbff823d
Alpha architecture:
http://security.debian.org/pool/updates/main/a/apache-perl/apache-perl_1.3.9-14.1-1.21.20000309-1.1_alpha.deb
Size/MD5 checksum: 1126584 949eb23cd106f0d1be213a2d1f222e35
ARM architecture:
http://security.debian.org/pool/updates/main/a/apache-perl/apache-perl_1.3.9-14.1-1.21.20000309-1.1_arm.deb
Size/MD5 checksum: 1000058 6403c48425e4b62e3e5d232eb0eca5d8
Intel IA-32 architecture:
http://security.debian.org/pool/updates/main/a/apache-perl/apache-perl_1.3.9-14.1-1.21.20000309-1.1_i386.deb
Size/MD5 checksum: 956320 da48dac81fbc5f66e7f9f350c2eb90bb
Motorola 680x0 architecture:
http://security.debian.org/pool/updates/main/a/apache-perl/apache-perl_1.3.9-14.1-1.21.20000309-1.1_m68k.deb
Size/MD5 checksum: 923340 bdc936f40eb10f523a7f865f3a7bf19e
PowerPC architecture:
http://security.debian.org/pool/updates/main/a/apache-perl/apache-perl_1.3.9-14.1-1.21.20000309-1.1_powerpc.deb
Size/MD5 checksum: 1005128 a237e415455689fb02143ff8c8b94b50
Sun Sparc architecture:
http://security.debian.org/pool/updates/main/a/apache-perl/apache-perl_1.3.9-14.1-1.21.20000309-1.1_sparc.deb
Size/MD5 checksum: 1001880 033f4c4ec40b4aa2600484e93082b798
Debian GNU/Linux 3.0 愛称 woody
- ------------------------------------
ソースアーカイブ:
http://security.debian.org/pool/updates/main/a/apache-perl/apache-perl_1.3.26-1-1.26-0woody2.dsc
Size/MD5 checksum: 706 de8082abd65d3b5996c16b17b8a925a5
http://security.debian.org/pool/updates/main/a/apache-perl/apache-perl_1.3.26-1-1.26-0woody2.tar.gz
Size/MD5 checksum: 3290245 13ef2acabfbae0ad98b6e70b2dc724fe
Alpha architecture:
http://security.debian.org/pool/updates/main/a/apache-perl/apache-perl_1.3.26-1-1.26-0woody2_alpha.deb
Size/MD5 checksum: 247946 387b3e7006576a5bcaad96ab02dd5108
ARM architecture:
http://security.debian.org/pool/updates/main/a/apache-perl/apache-perl_1.3.26-1-1.26-0woody2_arm.deb
Size/MD5 checksum: 207682 097b58c87cef40cf815937c07e31e8ca
Intel IA-32 architecture:
http://security.debian.org/pool/updates/main/a/apache-perl/apache-perl_1.3.26-1-1.26-0woody2_i386.deb
Size/MD5 checksum: 193440 b131f4f5e43cffc2a15f6b2f83f016c6
Intel IA-64 architecture:
http://security.debian.org/pool/updates/main/a/apache-perl/apache-perl_1.3.26-1-1.26-0woody2_ia64.deb
Size/MD5 checksum: 320266 8fe41e1bcc6b16ada481082508af249d
HP Precision architecture:
http://security.debian.org/pool/updates/main/a/apache-perl/apache-perl_1.3.26-1-1.26-0woody2_hppa.deb
Size/MD5 checksum: 241968 0223028e1a9483980427779b4b4c5ff8
Motorola 680x0 architecture:
http://security.debian.org/pool/updates/main/a/apache-perl/apache-perl_1.3.26-1-1.26-0woody2_m68k.deb
Size/MD5 checksum: 182532 d9086e11cbf640adb05981afed42f9b2
Big endian MIPS architecture:
http://security.debian.org/pool/updates/main/a/apache-perl/apache-perl_1.3.26-1-1.26-0woody2_mips.deb
Size/MD5 checksum: 219074 1d0801e02d82f0e1638f4837b3ba89da
Little endian MIPS architecture:
http://security.debian.org/pool/updates/main/a/apache-perl/apache-perl_1.3.26-1-1.26-0woody2_mipsel.deb
Size/MD5 checksum: 218656 aca5ed9a669785205ded19e00a702a9d
PowerPC architecture:
http://security.debian.org/pool/updates/main/a/apache-perl/apache-perl_1.3.26-1-1.26-0woody2_powerpc.deb
Size/MD5 checksum: 208896 30a6a3398df64c1bf9967ecc329dae95
IBM S/390 architecture:
http://security.debian.org/pool/updates/main/a/apache-perl/apache-perl_1.3.26-1-1.26-0woody2_s390.deb
Size/MD5 checksum: 203072 9997d9ae90f1c8a49b31ce1f43ef25ef
Sun Sparc architecture:
http://security.debian.org/pool/updates/main/a/apache-perl/apache-perl_1.3.26-1-1.26-0woody2_sparc.deb
Size/MD5 checksum: 206058 a4c9c3cc6e1b7fc63cf23972902bee84
これらのファイルは次の版の安定版リリース時そちらに移されます。
- ---------------------------------------------------------------------------------
For apt-get: deb http://security.debian.org/ stable/updates main
For dpkg-ftp: ftp://security.debian.org/debian-security dists/stable/updates/main
Mailing list: debian-security-announce@lists.debian.org
Package info: `apt-cache show <pkg>' and http://packages.debian.org/<pkg>
------>8------------>8------------>8------------>8------------>8
--
Seiji Kaneko skaneko@xxxxxxxxxxxx
--------------------------- http://plaza25.mbn.or.jp/~efialtes
足跡 = 55A4 898A C765 F20A 1693 7882 579A 3339 D6ED 97E8