Actualizaciones de seguridad para Debian Linux

Debian ha publicado actualizaciones de seguridad para paquetes de sus distribuciones estable “lenny” e inestable “sid”. A continuación detallamos los paquetes afectados y errores corregidos en cada uno de ellos.
  
* phpMyAdmin:
Corrige tres fallos correspondientes a los CVE-2008-7251, CVE-2008-7252 y CVE-2009-4605.
El primero es un fallo en “libraries/File.class.php” al efectuar una asignación incorrecta de permisos. Cuando crea un directorio temporal permite que pueda ser manipulado por cualquier usuario. Esto podría ser usado por un atacante local para efectuar una escalada de privilegios.
El segundo fallo y relacionado con el primero es debido a la predecibilidad de los nombres de archivos temporales creados por “libraries/File.class.php”.
El tercero y último se encuentra en el script de configuración “scripts/setup.php”. Dicho script permite un uso inseguro de la función “unserialize” sobre los parámetros “configuration” y “v[0]”. Esto podría ser aprovechado por un atacante remoto para causar ataques de cross-site request forgery.
 
* apache2:
Corrige dos fallos correspondientes a los CVE-2010-0408 y CVE-2010-0434.
El primero es un fallo al procesar una peticiones mal formadas en el módulo “mod_proxy_ajp”, concretamente en la función “ap_proxy_ajp_request” del archivo “modules/proxy/mod_proxy_ajp.c”. Un atacante remoto podría aprovechar este problema para causar un ataque de denegación de servicio a través de peticiones HTTP especialmente manipuladas.
El segundo y último reside en la función “ap_read_request” del archivo “server/protocol.c” y podría permitir a un atacante remoto obtener información sensible o causar una denegación de servicio debido a un error en el tratamiento de las cabeceras HTTP en ciertos módulos.
 
* jasper:
Corrige un fallo correspondiente al CVE-2007-2721 y un error de regresión introducido anteriormente al parchear una vulnerabilidad correspondiente al CVE-2008-3521.
El error se encuentra en la función “jpc_qcx_getcompparms” del archivo “jpc/jpc_cs.c”. Dicho error podría permitir a un atacante remoto causar una denegación de servicio o corromper el heap a través de un archivo de imagen especialmente manipulado.
 
* kdm:
Corrige un fallo correspondiente al CVE-2010-0436.
Existe un error de condición de carrera en KDM durante la creación de un socket de control en el inicio de sesión de usuario. Esto podría permitir a un atacante local autenticado elevar privilegios a través de la creación de archivos especialmente manipulados. Se recomienda actualizar a través de las herramientas automáticas apt-get.
 
Más información:
DSA-2034-1 phpmyadmin — several vulnerabilities
 
DSA-2035-1 apache2 — multiple issues
 
DSA-2036-1 jasper — programming error
DSA-2037-1 kdm (kdebase) — race condition
Anuncios

Acerca de dans

Soy un amante a la informatica, cada dia es un reto mas y un vacio eliminado con conocimiento, soy un amante de la seguridad informatica del Ver todas las entradas de dans

Responder

Introduce tus datos o haz clic en un icono para iniciar sesión:

Logo de WordPress.com

Estás comentando usando tu cuenta de WordPress.com. Cerrar sesión / Cambiar )

Imagen de Twitter

Estás comentando usando tu cuenta de Twitter. Cerrar sesión / Cambiar )

Foto de Facebook

Estás comentando usando tu cuenta de Facebook. Cerrar sesión / Cambiar )

Google+ photo

Estás comentando usando tu cuenta de Google+. Cerrar sesión / Cambiar )

Conectando a %s

A %d blogueros les gusta esto: