[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]

[debian-users:45600] [Translate] [SECURITY] [DSA 903-2] New unzip packages fix unauthorised permissions modification

From: Seiji Kaneko <skaneko@xxxxxxxxxxxx>
Subject: [debian-users:45600] [Translate] [SECURITY] [DSA 903-2] New unzip packages fix unauthorised permissions modification
Date: Thu, 12 Jan 2006 21:49:45 +0900
List-help: <mailto:debian-users-ctl@debian.or.jp?body=help>
List-id: debian-users.debian.or.jp
List-owner: <mailto:debian-users-admin@debian.or.jp>
List-post: <mailto:debian-users@debian.or.jp>
List-software: fml [fml 4.0.3 release (20011202/4.0.3)]
List-unsubscribe: <mailto:debian-users-ctl@debian.or.jp?body=unsubscribe>
X-accept-language: ja, en-us, en
X-ml-info: If you have a question, send e-mail with the body "help" (without quotes) to the address debian-users-ctl@debian.or.jp; help=<mailto:debian-users-ctl@debian.or.jp?body=help>
X-ml-name: debian-users
X-mlserver: fml [fml 4.0.3 release (20011202/4.0.3)]; post only (only members can post)
X-original-to: debian-users@debian.or.jp
Message-id: <43C6505D.9090609@xxxxxxxxxxxx>
X-mail-count: 45600
User-agent: Mozilla Thunderbird 1.0.7 (Macintosh/20050923)

かねこです。
URL 等は Debian-security-announce メーリングリストの元記事を確認
ください。

------>8------------>8------------>8------------>8------------>8-
- --------------------------------------------------------------------------
Debian Security Advisory DSA 903-2                     security@debian.org
http://www.debian.org/security/                             Martin Schulze
January 12th, 2006                      http://www.debian.org/security/faq
- --------------------------------------------------------------------------

Package        : unzip
Vulnerability  : 競合条件の見落とし
Problem type   : ローカル
Debian-specific: いいえ
CVE ID         : CAN-2005-2475
BugTraq ID     : 14450
Debian Bugs    : 321927 343680

DSA 903 の unzip パッケージの修正には、zip アーカイブで、展開後リンクが
解決されるようなシンボリックリンクサポートが出来なくなっている、という
バグが作り込まれてしまっていました。この勧告ではこれを修正します。念の
ため、以前の勧告を再掲します。

  Imran Ghory さんにより、unzip のパーミッション設定に競合条件の見落とし
  があることが発見されました。攻撃者にアクセス権限のあるディレクトリ中の
  ファイルを伸張する際に、unzip に unzip 利用ユーザが権限を持つ別のファ
  イルのパーミッションの変更をさせる攻撃が可能です。
	
前安定版 (oldstable) ディストリビューション (woody) では、この問題はバー
ジョン 5.50-1woody5 で修正されています。

安定版  (stable) ディストリビューション (sarge) では、この問題はバージョ
ン 5.52-1sarge3 で修正されています。

不安定版 (unstable) ディストリビューション (sid) では、この問題はバージョ
ン 5.52-6 で修正されています。

直ぐに unzip パッケージをアップグレードすることを勧めます。

アップグレード手順
------------------

wget url
	でファイルを取得できます。
dpkg -i file.deb
        で参照されたファイルをインストールできます。

を用いて、apt-get パッケージマネージャに以下記載の sources.list を与えて
次のコマンドを使ってください。

apt-get update
        これは内部データベースを更新します。
apt-get upgrade
        これで修正されたパッケージをインストールします。

本メールのフッタ記載の設定を自ホストの設定に加えることにより、自動更新を
行うこともできます。


Debian GNU/Linux 3.0 愛称 woody
- --------------------------------

  ソースアーカイブ:
    http://security.debian.org/pool/updates/main/u/unzip/unzip_5.50-1woody5.dsc
      Size/MD5 checksum:      571 75e2923b74af607785cbefbbea79d1ab
    http://security.debian.org/pool/updates/main/u/unzip/unzip_5.50-1woody5.diff.gz
      Size/MD5 checksum:     6484 73efae47dcd377abb934e36805c16190
    http://security.debian.org/pool/updates/main/u/unzip/unzip_5.50.orig.tar.gz
      Size/MD5 checksum:  1068379 6d27bcdf9b51d0ad0f78161d0f99582e

  Alpha architecture:

    http://security.debian.org/pool/updates/main/u/unzip/unzip_5.50-1woody5_alpha.deb
      Size/MD5 checksum:   160482 94b0a5e18d78866d92f375d6b93a22c3

  ARM architecture:

    http://security.debian.org/pool/updates/main/u/unzip/unzip_5.50-1woody5_arm.deb
      Size/MD5 checksum:   139374 bd8cc4c654c901b5c320b2cdbf09f31b

  Intel IA-32 architecture:

    http://security.debian.org/pool/updates/main/u/unzip/unzip_5.50-1woody5_i386.deb
      Size/MD5 checksum:   122808 1d5669290431fb7fe83f688447b22d84

  Intel IA-64 architecture:

    http://security.debian.org/pool/updates/main/u/unzip/unzip_5.50-1woody5_ia64.deb
      Size/MD5 checksum:   191010 1cd02c151f46b5f7872a7de3079ebc2a

  HP Precision architecture:

    http://security.debian.org/pool/updates/main/u/unzip/unzip_5.50-1woody5_hppa.deb
      Size/MD5 checksum:   146954 ee23ad6e2c40d38e4655be1f2666489d

  Motorola 680x0 architecture:

    http://security.debian.org/pool/updates/main/u/unzip/unzip_5.50-1woody5_m68k.deb
      Size/MD5 checksum:   119578 7765363163750bed7e72472bee09afc4

  Big endian MIPS architecture:

    http://security.debian.org/pool/updates/main/u/unzip/unzip_5.50-1woody5_mips.deb
      Size/MD5 checksum:   142950 97af77c03fb69936407c86394fb846a5

  Little endian MIPS architecture:

    http://security.debian.org/pool/updates/main/u/unzip/unzip_5.50-1woody5_mipsel.deb
      Size/MD5 checksum:   143422 98a0ab0fd751c246ebd50e5c62886217

  PowerPC architecture:

    http://security.debian.org/pool/updates/main/u/unzip/unzip_5.50-1woody5_powerpc.deb
      Size/MD5 checksum:   136368 b2bea065ae91032fe987aaf120e08ad9

  IBM S/390 architecture:

    http://security.debian.org/pool/updates/main/u/unzip/unzip_5.50-1woody5_s390.deb
      Size/MD5 checksum:   137044 151da2fddaaca890dbf5166140f23881

  Sun Sparc architecture:

    http://security.debian.org/pool/updates/main/u/unzip/unzip_5.50-1woody5_sparc.deb
      Size/MD5 checksum:   147498 022e8ca1cecf20178edd68296fd973aa


Debian GNU/Linux 3.1 愛称 sarge
- --------------------------------

  ソースアーカイブ:

    http://security.debian.org/pool/updates/main/u/unzip/unzip_5.52-1sarge3.dsc
      Size/MD5 checksum:      528 b6e01dbb89f9130fa16650b16f4d4e32
    http://security.debian.org/pool/updates/main/u/unzip/unzip_5.52-1sarge3.diff.gz
      Size/MD5 checksum:     5387 807b5d9e8efa85e8caab673eff38aff7
    http://security.debian.org/pool/updates/main/u/unzip/unzip_5.52.orig.tar.gz
      Size/MD5 checksum:  1140291 9d23919999d6eac9217d1f41472034a9

  Alpha architecture:

    http://security.debian.org/pool/updates/main/u/unzip/unzip_5.52-1sarge3_alpha.deb
      Size/MD5 checksum:   175506 90375091fd0c2577518bfd7db2202272

  AMD64 architecture:

    http://security.debian.org/pool/updates/main/u/unzip/unzip_5.52-1sarge3_amd64.deb
      Size/MD5 checksum:   154876 7129ee6610e6ec0320141bb7aaa5288e

  ARM architecture:

    http://security.debian.org/pool/updates/main/u/unzip/unzip_5.52-1sarge3_arm.deb
      Size/MD5 checksum:   155430 3fb2c5576d1709c6d7cc1b89d61a50b8

  Intel IA-32 architecture:

    http://security.debian.org/pool/updates/main/u/unzip/unzip_5.52-1sarge3_i386.deb
      Size/MD5 checksum:   144934 0e860597ffe259038f7bb8e1ce2630df

  Intel IA-64 architecture:

    http://security.debian.org/pool/updates/main/u/unzip/unzip_5.52-1sarge3_ia64.deb
      Size/MD5 checksum:   206648 d261bf8a2e3c8fce3d0898355a7420db

  HP Precision architecture:

    http://security.debian.org/pool/updates/main/u/unzip/unzip_5.52-1sarge3_hppa.deb
      Size/MD5 checksum:   162840 91d7d512b915757bf7c7e3e8640efa0c

  Motorola 680x0 architecture:

    http://security.debian.org/pool/updates/main/u/unzip/unzip_5.52-1sarge3_m68k.deb
      Size/MD5 checksum:   133734 878d1597bd5ef623a6bc70f6446654a4

  Big endian MIPS architecture:

    http://security.debian.org/pool/updates/main/u/unzip/unzip_5.52-1sarge3_mips.deb
      Size/MD5 checksum:   163396 5cbe0e22136949f240031502ea07d456

  Little endian MIPS architecture:

    http://security.debian.org/pool/updates/main/u/unzip/unzip_5.52-1sarge3_mipsel.deb
      Size/MD5 checksum:   163966 4066fa1e97bad61c47be9b6ffa47179f

  PowerPC architecture:

    http://security.debian.org/pool/updates/main/u/unzip/unzip_5.52-1sarge3_powerpc.deb
      Size/MD5 checksum:   157388 25c3d9d685ec411e5b53cc0e8002ca8e

  IBM S/390 architecture:

    http://security.debian.org/pool/updates/main/u/unzip/unzip_5.52-1sarge3_s390.deb
      Size/MD5 checksum:   156494 bfeb0b1d801266334e6a46f0818a9e6f

  Sun Sparc architecture:

    http://security.debian.org/pool/updates/main/u/unzip/unzip_5.52-1sarge3_sparc.deb
      Size/MD5 checksum:   154952 e1e42335312202d8b3f0727e9d78fda9


  これらのファイルは次の版の安定版リリース時そちらに移されます。

- ---------------------------------------------------------------------------------
For apt-get: deb http://security.debian.org/ stable/updates main
For dpkg-ftp: ftp://security.debian.org/debian-security dists/stable/updates/main
Mailing list: debian-security-announce@lists.debian.org
Package info: `apt-cache show <pkg>' and http://packages.debian.org/<pkg>
------>8------------>8------------>8------------>8------------>8-
-- 
Seiji Kaneko                         skaneko@xxxxxxxxxxxx
---------------------------------------------------------

Prev by Date: [debian-users:45599] Re: SATAのLinux上での認識順について
Next by Date: [debian-users:45601] [Translate] [SECURITY] [DSA 936-1] New libextractor packages fix arbitrary code execution
Previous by thread: [debian-users:45596] Re: 結論: 正規表現処理が変になっている環境について
Next by thread: [debian-users:45601] [Translate] [SECURITY] [DSA 936-1] New libextractor packages fix arbitrary code execution
Index(es):
- Date
- Thread