[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]
[debian-users:49347] [Translate] [SECURITY] [DSA 1370-2] New phpmyadmin packages fix several vulnerabilities
かねこです。
URL 等は Debian-security-announce メーリングリストの元記事を確認
ください。
------>8------------>8------------>8------------>8------------>8-
- --------------------------------------------------------------------------
Debian Security Advisory DSA 1370-2 security@debian.org
http://www.debian.org/security/ Thijs Kinkhorst
September 10th, 2007 http://www.debian.org/security/faq
- --------------------------------------------------------------------------
Package : phpmyadmin
Vulnerability : 複数
Problem-Type : リモート
Debian-specific: いいえ
CVE ID : CVE-2006-6942 CVE-2006-6944 CVE-2007-1325 CVE-2007-1395 CVE-2007-2245
旧安定版の誤った修正がアーカイブに投入されてしまいました。今回の勧告は正
しいパッケージを提供します。参考のため元の勧告を再掲します。
MySQL をウェブで管理するためのツール phpMyAdmin に、リモートから攻撃可能
な複数の問題が発見されました。The Common Vulnerabilities and Exposures
project は以下の問題を認識しています。
CVE-2007-1325
libraries/common.lib.php の PMA_ArrayWalkRecursive 関数が、ユーザの与
えた配列のアクセス時の再帰を制限していないため、コンテキスト依存の条
件下で、攻撃者が次元数の多い配列を使ってサービス拒否攻撃 (ウェブサー
バクラッシュ) を引き起こすことが可能です。
この問題は安定版 (stable/Etch) にのみ存在します。
CVE-2007-1395
index.php の blacklist が不完全であるという欠陥があり、大文字の
</SCRIPT> 終了タグ の後で (1) db および (2) table パラメータを用いる
ことによってリモートの攻撃者が任意のウェブスクリプトや HTML を挿入可
能です。これは、小文字の </script> タグのみがチェックされていたため
です。
この問題は安定版 (stable/Etch) にのみ存在します。
CVE-2007-2245
(1) browse_foreigners.php の fieldkey パラメータ、および (2)
PMA_sanitize 関数の入力周りで複数のクロスサイトスクリプティングバグ
があり、リモートの攻撃者が任意のウェブスクリプトや HTML を挿入可能
です。
CVE-2006-6942
(1) テーブル名に関するコメント (攻撃は、db_operations.php を用いて可
能)、(2) db_create.php の db パラメータ、(3) db_operations.php の
newname パラメータ、(c) querywindow.php の (4) query_history_latest,
(5) query_history_latest_db, および (6) querydisplay_tab の各パラメ
ータ、および (7) sql.php の pos パラメータ周りで複数のクロスサイトス
クリプティングバグがあり、リモートの攻撃者が任意のウェブスクリプトや
HTML を挿入可能です。
この問題は旧安定版 (Sarge) のみに存在します。
CVE-2006-6944
phpMyAdmin に、偽のヘッダを用いて IP アドレスを用いた 許可/拒絶の規則
をリモートの攻撃者が迂回できる欠陥が発見されました。
この問題は旧安定版 (Sarge) のみに存在します。
安定版 (stable) ディストリビューション (etch) では、これらの問題はバージ
ョン 2.9.0.3-4 で修正されています。
旧安定版 (oldstable) ディストリビューション (sarge) では、これらの問題は
バージョン 2.6.2-3sarge5 で修正されています。
不安定版 (unstable) ディストリビューション (sid) では、これらの問題はバー
ジョン 2.10.1-1 で修正されています。
直ぐに phpmyadmin パッケージをアップグレードすることを勧めます。
アップグレード手順
------------------
wget url
でファイルを取得できます。
dpkg -i file.deb
で参照されたファイルをインストールできます。
apt-get パッケージマネージャを用いている場合には、本メールのフッタ記載の
行を sources.list に加えて、
apt-get update
を実行して内部データベースを更新し、
apt-get upgrade
によって修正されたパッケージをインストールしてください。
本メールのフッタ記載の設定を自ホストの設定に加えることにより、自動更新を
行うこともできます。
Debian GNU/Linux 3.1 愛称 sarge
- --------------------------------
ソースアーカイブ:
http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.6.2-3sarge5.dsc
Size/MD5 checksum: 896 7d2144286ddad9d5a8a88af1660bf34f
http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.6.2-3sarge5.diff.gz
Size/MD5 checksum: 41685 71832d082f9aad134786fb51c522e5f3
http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.6.2.orig.tar.gz
Size/MD5 checksum: 2654418 05e33121984824c43d94450af3edf267
アーキテクチャに依存しない内容:
http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.6.2-3sarge5_all.deb
Size/MD5 checksum: 2769794 b7f2545109e3904bb7e8eb49b09e6f7c
Debian GNU/Linux 4.0 alias etch
- -------------------------------
ソースアーカイブ:
http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.9.1.1-4.dsc
Size/MD5 checksum: 1011 26baccf88fa7d3b00f4802e46d8d0053
http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.9.1.1-4.diff.gz
Size/MD5 checksum: 46886 0f377a70b327c65f53ff6895856d18d6
http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.9.1.1.orig.tar.gz
Size/MD5 checksum: 3500563 f598509b308bf96aee836eb2338f523c
アーキテクチャに依存しない内容:
http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.9.1.1-4_all.deb
Size/MD5 checksum: 3605594 05f19efce1cb5b31a8f1161a01dbe158
これらのファイルは次の版の安定版リリース時そちらに移されます。
- ---------------------------------------------------------------------------------
For apt-get: deb http://security.debian.org/ stable/updates main
For dpkg-ftp: ftp://security.debian.org/debian-security dists/stable/updates/main
Mailing list: debian-security-announce@lists.debian.org
Package info: `apt-cache show <pkg>' and http://packages.debian.org/<pkg>
------>8------------>8------------>8------------>8------------>8-
--
Seiji Kaneko skaneko@xxxxxxxxxxxx
---------------------------------------------------------