Bulletin d'alerte Debian

DSA-1239-1 sql-ledger -- Plusieurs vulnérabilités

Date du rapport:

17 décembre 2006

Paquets concernés:

Vulnérabilité:

Oui

Références dans la base de données de sécurité:

Dans le système de suivi des bogues Debian : Bogue 386519.
Dans le dictionnaire CVE du Mitre : CVE-2006-4244, CVE-2006-4731, CVE-2006-5872.

Pour plus d'information:

Plusieurs vulnérabilités à distance ont été découvertes dans SQL Ledger, un programme de comptabilité à double entrée basé sur une interface web, cela peut conduire à l'exécution de code arbitraire. Le projet des expositions et vulnérabilités communes (CVE) identifie les problèmes suivants :

CVE-2006-4244
Chris Travers a découvert que la gestion des sessions pouvait être trompée pour détourner des sessions existantes.
CVE-2006-4731
Chris Travers a découvert que des vulnérabilités de traversée de répertoire pouvaient être exploitées pour exécuter du code Perl arbitraire.
CVE-2006-5872
On a découvert que le manque de vérification d'entrée permettait l'exécution de code Perl arbitraire.

Pour la distribution stable (Sarge), ces problèmes ont été corrigés dans la version 2.4.7-2sarge1.

Pour la prochaine distribution stable (Etch), ces problèmes ont été corrigés dans la version 2.6.21-1.

Pour la distribution instable (Sid), ces problèmes ont été corrigés dans la version 2.6.21-1.

Nous vous recommandons de mettre à jour vos paquets sql-ledger.

Corrigé dans:

Debian GNU/Linux 3.1 (sarge)

Source :: http://security.debian.org/pool/updates/main/s/sql-ledger/sql-ledger_2.4.7-2sarge1.dsc; http://security.debian.org/pool/updates/main/s/sql-ledger/sql-ledger_2.4.7-2sarge1.diff.gz; http://security.debian.org/pool/updates/main/s/sql-ledger/sql-ledger_2.4.7.orig.tar.gz
Composant indépendant de l'architecture :: http://security.debian.org/pool/updates/main/s/sql-ledger/sql-ledger_2.4.7-2sarge1_all.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.