Debian セキュリティ勧告

DSA-1580-1 phpgedview -- プログラムミス

報告日時:

2008-05-20

影響を受けるパッケージ:

phpgedview

危険性:

あり

参考セキュリティデータベース:

Mitre の CVE 辞書: CVE-2008-2064.

詳細:

家系データへのオンラインでのアクセスを提供するアプリケーション phpGedView が、プログラムミスによりリモートの攻撃者から管理者権限を奪えることが発見されました。

注記: この問題は、phpGedView と、コンテンツ管理システムなどの外部のプログラムとを接続するインターフェース (API) の根本的な設計ミスです。この問題を解決するには API を全面的に再作成するしかありませんが、これはセキュリティ更新としては不適切でしょう。この機能は周辺関数であり、恐らくパッケージユーザの中でも利用している人は少数であろうという判断の下に、このインターフェースを削除することとしました。もし、このインターフェースが必要な場合には、phpGedView の Debian Lenny にバックポートされた版を利用してください。この版では完全に再設計された API が使われています。

安定版 (stable) ディストリビューション (etch) では、この問題はバージョン 4.0.2.dfsg-4 で修正されています。

不安定版 (unstable) ディストリビューション (sid) では、この問題はバージョン 4.1.e+4.1.5-1 で修正されています。

直ぐに phpgedview パッケージをアップグレードすることを勧めます。

修正:

Debian GNU/Linux 4.0 (etch)

ソース:: http://security.debian.org/pool/updates/main/p/phpgedview/phpgedview_4.0.2.dfsg.orig.tar.gz; http://security.debian.org/pool/updates/main/p/phpgedview/phpgedview_4.0.2.dfsg-4.diff.gz; http://security.debian.org/pool/updates/main/p/phpgedview/phpgedview_4.0.2.dfsg-4.dsc
アーキテクチャ非依存コンポーネント:: http://security.debian.org/pool/updates/main/p/phpgedview/phpgedview_4.0.2.dfsg-4_all.deb; http://security.debian.org/pool/updates/main/p/phpgedview/phpgedview-languages_4.0.2.dfsg-4_all.deb; http://security.debian.org/pool/updates/main/p/phpgedview/phpgedview-places_4.0.2.dfsg-4_all.deb; http://security.debian.org/pool/updates/main/p/phpgedview/phpgedview-themes_4.0.2.dfsg-4_all.deb

一覧にあるファイルの MD5 チェックサムは勧告の原文にあります。