Debians sikkerhedsbulletin

DSA-1488-1 phpbb2 -- flere sårbarheder

Rapporteret den:
9. feb 2008
Berørte pakker:
phpbb2
Sårbar:
Ja
Referencer i sikkerhedsdatabaser:
I Debians fejlsporingssystem: Fejl 388120, Fejl 405980, Fejl 463589.
I Mitres CVE-ordbog: CVE-2006-4758, CVE-2006-6839, CVE-2006-6840, CVE-2006-6508, CVE-2006-6841, CVE-2008-0471.
Yderligere oplysninger:

Flere fjernudnytbare sårbarheder er opdaget i phpBB, et webbaseret bulletin board (opslagstavle). Projektet Common Vulnerabilities and Exposures har fundet frem til følgende problemer:

  • CVE-2008-0471

    Forespørgselsforfalskning i forbindelse med private meddelelser på tværs af servere, hvilket gjorde det muligt at slette alle en brugers private meddelelser, ved at sende dem til en særligt fremstillet webside.

  • CVE-2006-6841 / CVE-2006-6508

    Forespørgselsforfalskning på tværs af websteder gjorde det muligt for en angriber at udføre forskellige handlinger på vegne af en indlogget bruger. (Gælder kun sarge).

  • CVE-2006-6840

    Et negativt startparameter kunne gøre det muligt for en angriber at fremstille udgyldige uddata. (Gælder kun sarge.)

  • CVE-2006-6839

    Omdirigeringsmål blev ikke helt kontrolleret, hvilket efterlod mulighed for uautoriserede eksterne omdirigeringer gennem et phpBB-forum. (Gælder kun sarge).

  • CVE-2006-4758

    En autentificeret forumadministrator kunne uploade filer af enhver type, ved at anvende særligt fremstillede filnavne. (Gælder kun sarge.)

I den gamle stabile distribution (sarge), er disse problemer rettet i version 2.0.13+1-6sarge4.

I den stabile distribution (etch), er disse problemer rettet i version 2.0.21-7.

I den ustabile distribution (sid) er disse problemer rettet i version 2.0.22-3.

Vi anbefaler at du opgraderer din phpbb2-pakke.

Rettet i:

Debian GNU/Linux 3.1 (sarge)

Kildekode:
http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2_2.0.13+1-6sarge4.diff.gz
http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2_2.0.13+1.orig.tar.gz
http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2_2.0.13+1-6sarge4.dsc
Arkitekturuafhængig komponent:
http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2-conf-mysql_2.0.13-6sarge4_all.deb
http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2_2.0.13-6sarge4_all.deb
http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2-languages_2.0.13-6sarge4_all.deb

Debian GNU/Linux 4.0 (etch)

Kildekode:
http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2_2.0.21-7.dsc
http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2_2.0.21.orig.tar.gz
http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2_2.0.21-7.diff.gz
Arkitekturuafhængig komponent:
http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2-languages_2.0.21-7_all.deb
http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2_2.0.21-7_all.deb
http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2-conf-mysql_2.0.21-7_all.deb

MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.