Aviso de seguridad de Debian

DSA-347-1 teapop -- inyección de SQL

Fecha del informe:

8 de jul de 2003

Paquetes afectados:

teapop

Vulnerable:

Sí

Referencias a bases de datos de seguridad:

En la base de datos de Bugtraq (en SecurityFocus): Id. en BugTraq 8146.
En el diccionario CVE de Mitre: CVE-2003-0515.

Información adicional:

teapop, un servidor POP-3, incluye módulos para identificar a los usuarios en bases de datos PostgreSQL o MySQL. Estos módulos no trataban correctamente las cadenas suministradas por el usuario antes de usarlas en las consultas SQL. Esta vulnerabilidad podría ser aprovechada para ejecutar código SQL arbitrario con los privilegios del usuario de la base de datos con el que teapop se hubiese identificado.

Para la distribución estable (woody), este problema se ha corregido en la versión 0.3.4-1woody2.

Para la distribución inestable (sid), este problema se ha corregido en la versión 0.3.5-2.

Le recomendamos que actualice el paquete teapop.

Arreglado en:

Debian GNU/Linux 3.0 (woody)

Fuentes:: http://security.debian.org/pool/updates/main/t/teapop/teapop_0.3.4-1woody2.dsc; http://security.debian.org/pool/updates/main/t/teapop/teapop_0.3.4-1woody2.diff.gz; http://security.debian.org/pool/updates/main/t/teapop/teapop_0.3.4.orig.tar.gz
Alpha:: http://security.debian.org/pool/updates/main/t/teapop/teapop_0.3.4-1woody2_alpha.deb; http://security.debian.org/pool/updates/main/t/teapop/teapop-mysql_0.3.4-1woody2_alpha.deb; http://security.debian.org/pool/updates/main/t/teapop/teapop-pgsql_0.3.4-1woody2_alpha.deb
ARM:: http://security.debian.org/pool/updates/main/t/teapop/teapop_0.3.4-1woody2_arm.deb; http://security.debian.org/pool/updates/main/t/teapop/teapop-mysql_0.3.4-1woody2_arm.deb; http://security.debian.org/pool/updates/main/t/teapop/teapop-pgsql_0.3.4-1woody2_arm.deb
Intel IA-32:: http://security.debian.org/pool/updates/main/t/teapop/teapop_0.3.4-1woody2_i386.deb; http://security.debian.org/pool/updates/main/t/teapop/teapop-mysql_0.3.4-1woody2_i386.deb; http://security.debian.org/pool/updates/main/t/teapop/teapop-pgsql_0.3.4-1woody2_i386.deb
Intel IA-64:: http://security.debian.org/pool/updates/main/t/teapop/teapop_0.3.4-1woody2_ia64.deb; http://security.debian.org/pool/updates/main/t/teapop/teapop-mysql_0.3.4-1woody2_ia64.deb; http://security.debian.org/pool/updates/main/t/teapop/teapop-pgsql_0.3.4-1woody2_ia64.deb
HPPA:: http://security.debian.org/pool/updates/main/t/teapop/teapop_0.3.4-1woody2_hppa.deb; http://security.debian.org/pool/updates/main/t/teapop/teapop-mysql_0.3.4-1woody2_hppa.deb; http://security.debian.org/pool/updates/main/t/teapop/teapop-pgsql_0.3.4-1woody2_hppa.deb
Motorola 680x0:: http://security.debian.org/pool/updates/main/t/teapop/teapop_0.3.4-1woody2_m68k.deb; http://security.debian.org/pool/updates/main/t/teapop/teapop-mysql_0.3.4-1woody2_m68k.deb; http://security.debian.org/pool/updates/main/t/teapop/teapop-pgsql_0.3.4-1woody2_m68k.deb
Big endian MIPS:: http://security.debian.org/pool/updates/main/t/teapop/teapop_0.3.4-1woody2_mips.deb; http://security.debian.org/pool/updates/main/t/teapop/teapop-mysql_0.3.4-1woody2_mips.deb; http://security.debian.org/pool/updates/main/t/teapop/teapop-pgsql_0.3.4-1woody2_mips.deb
Little endian MIPS:: http://security.debian.org/pool/updates/main/t/teapop/teapop_0.3.4-1woody2_mipsel.deb; http://security.debian.org/pool/updates/main/t/teapop/teapop-mysql_0.3.4-1woody2_mipsel.deb; http://security.debian.org/pool/updates/main/t/teapop/teapop-pgsql_0.3.4-1woody2_mipsel.deb
PowerPC:: http://security.debian.org/pool/updates/main/t/teapop/teapop_0.3.4-1woody2_powerpc.deb; http://security.debian.org/pool/updates/main/t/teapop/teapop-mysql_0.3.4-1woody2_powerpc.deb; http://security.debian.org/pool/updates/main/t/teapop/teapop-pgsql_0.3.4-1woody2_powerpc.deb
IBM S/390:: http://security.debian.org/pool/updates/main/t/teapop/teapop_0.3.4-1woody2_s390.deb; http://security.debian.org/pool/updates/main/t/teapop/teapop-mysql_0.3.4-1woody2_s390.deb; http://security.debian.org/pool/updates/main/t/teapop/teapop-pgsql_0.3.4-1woody2_s390.deb
Sun Sparc:: http://security.debian.org/pool/updates/main/t/teapop/teapop_0.3.4-1woody2_sparc.deb; http://security.debian.org/pool/updates/main/t/teapop/teapop-mysql_0.3.4-1woody2_sparc.deb; http://security.debian.org/pool/updates/main/t/teapop/teapop-pgsql_0.3.4-1woody2_sparc.deb

Las sumas MD5 de los ficheros que se listan están disponibles en el aviso original.