—–BEGIN PGP SIGNED MESSAGE—–
Hash: SHA1
Liebe Kolleginnen und Kollegen,
soeben erreichte uns nachfolgendes Fedora Security Advisory. Wir geben
diese Informationen unveraendert an Sie weiter.
CVE-2009-3648 – Cross-site Scripting Schwachstelle in
drupal-service_links
Die Service_Links Komponente im Content Management System Drupal
enthaelt eine Code-Injection Schwachstelle, die das Einschleusen von
HTML-Code ermoeglicht. Grund hierfuer ist eine mangelhafte
Ueberpruefung von Benutzereingaben in der Funktion
‘service_links_admin_settings()’. Ein Angreifer kann diese
Schwachstelle ausnutzen, um beliebige Scriptbefehle im Browser des
Benutzers auszufuehren.
Betroffen sind die folgenden Software Pakete und Plattformen:
Paket drupal
Fedora 10
Fedora 11
Vom Hersteller werden ueberarbeitete Pakete zur Verfuegung gestellt.
Hersteller Advisory:
https://www.redhat.com/archives/fedora-package-announce/2009-October/msg00375.html
https://www.redhat.com/archives/fedora-package-announce/2009-October/msg00399.html
(c) der deutschen Zusammenfassung bei DFN-CERT Services GmbH; die
Verbreitung, auch auszugsweise, ist nur unter Hinweis auf den Urheber,
DFN-CERT Services GmbH, und nur zu nicht kommerziellen Zwecken
gestattet.
Mit freundlichen Gruessen,
Michael Groening, DFN-CERT
– —
Michael Groening (Incident Response Team)
DFN-CERT Services GmbH, https://www.dfn-cert.de, Phone +49 40 808077-555
Sitz / Register: Hamburg, AG Hamburg, HRB 88805, Ust-IdNr.: DE 232129737
Sachsenstrasse 5, 20097 Hamburg/Germany, CEO: Dr. Klaus-Peter Kossakowski
Automatische Warnmeldungen https://www.cert.dfn.de/autowarn
– ——————————————————————————–
Fedora Update Notification
FEDORA-2009-10466
2009-10-14 00:47:15
– ——————————————————————————–
Name : drupal-service_links
Product : Fedora 11
Version : 6.x.1.0
Release : 5.fc11
URL : http://drupal.org/project/service_links
Summary : Enables admins to add links to a number of sites
Description :
The service links module enables admins to add links to a number of social
bookmarking sites, blog search sites etc. Includes sites are del.icio.us,
Digg, Reddit, ma.gnolia.com, Newsvine, Furl, Google, Yahoo, Technorati and
IceRocket.
– ——————————————————————————–
Update Information:
Common Vulnerabilities and Exposures assigned an identifier CVE-2009-3648 to
the following vulnerability: Name: CVE-2009-3648 URL: http://cve.mitre.org
/cgi-bin/cvename.cgi?name=CVE-2009-3648 Assigned: 20091009 Reference: MISC:
http://www.madirish.net/?article=251 Reference: BID:36584 Reference: URL:
http://www.securityfocus.com/bid/36584 Reference: XF:servicelinks-content-type-
xss(53633) Reference: URL: http://xforce.iss.net/xforce/xfdb/53633 Cross-
site scripting (XSS) vulnerability in Service Links 6.x-1.0, a module for
Drupal, allows remote authenticated users, with ‘administer content types’
permissions, to inject arbitrary web script or HTML via unspecified vectors
when displaying content type names. Checked drupal-service_links in CVS and
this affects Fedora 10, 11, and rawhide.
– ——————————————————————————–
ChangeLog:
* Fri Oct 9 2009 Jon Ciesla
– – Patch for CVE-2009-3648 from madirish.net, BZ 528200, 528201.
* Fri Jul 24 2009 Fedora Release Engineering
– – Rebuilt for https://fedoraproject.org/wiki/Fedora_12_Mass_Rebuild
– ——————————————————————————–
References:
[ 1 ] Bug #528200 – CVE-2009-3648 drupal-service_links: xss vulnerability
https://bugzilla.redhat.com/show_bug.cgi?id=528200
– ——————————————————————————–
This update can be installed with the “yum” update program. Use
su -c ‘yum update drupal-service_links’ at the command line.
For more information, refer to “Managing Software with yum”,
available at http://docs.fedoraproject.org/yum/.
All packages are signed with the Fedora Project GPG key. More details on the
GPG keys used by the Fedora Project can be found at
http://fedoraproject.org/keys
– ——————————————————————————–
—–BEGIN PGP SIGNATURE—–
Version: GnuPG v1.4.2 (GNU/Linux)
iD8DBQFK1duhk0kIxZMiiQ8RAmcwAJ9cphlhKPRLGgKCASSv0Y/eFsBzMgCePxwi
0r73NfdQP8qDOB2VBzzEBDY=
=nAvc
—–END PGP SIGNATURE—–
