—–BEGIN PGP SIGNED MESSAGE—–
Hash: SHA1
Liebe Kolleginnen und Kollegen,
soeben erreichte uns nachfolgendes Advisory von Mandriva Security. Wir
geben diese Informationen unveraendert an Sie weiter.
CVE-2008-5302 / CVE-2008-5303 – Schwachstelle im Perl-Modul File::Path
bis Version 1.08
Im Perl-Modul File::Path bis Version 1.08 ist die Funktion rmtree()
anfaellig fuer eine Race Condition. Loescht ein Programm mit Hilfe von
rmtree() einen Verzeichnisbaum, existiert eine kurze Zeitspanne in
der ein Angreifer einen symbolischen Link innerhalb des Baums setzen
kann. Der Link wird von rmtree() verfolgt und das Ziel geloescht. Ein
lokaler Angreifer kann dadurch beliebige Dateien loeschen, die das
rmtree() aufrufende Programm loeschen kann.
CVE-2010-1168 – Schwachstelle im Perl Modul Safe.pm
Das Perl Modul Safe enthaelt eine Schwachstelle in der Evaluation von
Perl-Code, welche es erlaubt, den Code implizit aufgerufener Methoden
(wie Beispielsweise ‘DESTROY’ oder ‘AUTOLOAD’) mit erweiterten Rechten
aufzurufen. Grund hierfuer ist ein Fehler bei der Evaluation von
Objekten fuer die implizit die Funktion ‘bless()’ aufgerufen wurde. Ein
Angreifer kann diese Schwachstelle mit speziell praeparierten
Perl-Skripten ausnutzen und so beliebige Befehle mit erweiterten
Rechten ausfuehren.
CVE-2010-1447 – Schwachstelle in der PL/Perl Implementierung in
PostgreSQL
PostgreSQL enthaelt eine Schwachstelle in der Implementierung des
Moduls Safe.pm im PL/Perl-Modul. Perl-Skripte, welche im Safe-Mode
ausgefuehrt werden, koennen ueber speziell praeparierte Referenzen auf
Subroutinen aus diesem ausbrechen. Dies fuehrt dazu, dass Perl-Scripte
unter Umstaenden mit erweiterten Rechten ausgefuehrt werden. Ein lokaler
Angreifer, dem es gelingt diese Schwachstelle auszunutzen, kann
beliebige Perl-Scripte mit den Rechten des Datenbank-Servers ausfuehren.
Betroffen sind die folgenden Software Pakete und Plattformen:
Paket perl
Mandriva Linux 2008.0
Mandriva Linux 2008.0/X86_64
Mandriva Linux 2010.0
Mandriva Linux 2010.0/X86_64
Vom Hersteller werden ueberarbeitete Pakete zur Verfuegung gestellt.
(c) der deutschen Zusammenfassung bei DFN-CERT Services GmbH; die
Verbreitung, auch auszugsweise, ist nur unter Hinweis auf den Urheber,
DFN-CERT Services GmbH, und nur zu nicht kommerziellen Zwecken
gestattet.
Mit freundlichen Gruessen,
Jan Kohlrausch (CSIRT), Phone +49 40 808077-555
DFN-CERT Services GmbH, https://www.dfn-cert.de, Phone +49 40 808077-555
Sitz / Register: Hamburg, AG Hamburg, HRB 88805, Ust-IdNr.: DE 232129737
Sachsenstrasse 5, 20097 Hamburg/Germany, CEO: Dr. Klaus-Peter Kossakowski
CarmentiS – Early Warning Expertise
https://www.carmentis.org
– —–BEGIN PGP SIGNED MESSAGE—–
Hash: SHA1
_______________________________________________________________________
Mandriva Linux Security Advisory MDVSA-2010:116
http://www.mandriva.com/security/
_______________________________________________________________________
Package : perl
Date : June 11, 2010
Affected: 2008.0, 2010.0
_______________________________________________________________________
Problem Description:
Multiple vulnerabilities has been discovered and corrected in Path.pm
and Safe.pm which could lead to escalated privilegies (CVE-2008-5302,
CVE-2008-5303, CVE-2010-1168, CVE-2010-1447). The updated packages
have been patched to correct these issues.
_______________________________________________________________________
References:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-5302
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-5303
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-1168
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-1447
_______________________________________________________________________
Updated Packages:
Mandriva Linux 2008.0:
74f13f5c2a193ad87e946fb1d743a79c 2008.0/i586/perl-5.8.8-12.3mdv2008.0.i586.rpm
decce53cbd246cd380c0985b89703abe 2008.0/i586/perl-base-5.8.8-12.3mdv2008.0.i586.rpm
767064aa83aeb454927eafbe8068a95b 2008.0/i586/perl-devel-5.8.8-12.3mdv2008.0.i586.rpm
620d3bc66fa16f685a498bb6c6991527 2008.0/i586/perl-doc-5.8.8-12.3mdv2008.0.i586.rpm
b8b47acd7c38dd7051955043822723b4 2008.0/i586/perl-suid-5.8.8-12.3mdv2008.0.i586.rpm
76551980f8370263a6779a7edd9632fb 2008.0/SRPMS/perl-5.8.8-12.3mdv2008.0.src.rpm
Mandriva Linux 2008.0/X86_64:
7546033b4000e799f955deec07206284 2008.0/x86_64/perl-5.8.8-12.3mdv2008.0.x86_64.rpm
89107c7558a766436bec50ecc4eed5c0 2008.0/x86_64/perl-base-5.8.8-12.3mdv2008.0.x86_64.rpm
ee70fb39ca45516da600ec0bd74df224 2008.0/x86_64/perl-devel-5.8.8-12.3mdv2008.0.x86_64.rpm
2807e604899d1f627d4baaf3668d468d 2008.0/x86_64/perl-doc-5.8.8-12.3mdv2008.0.x86_64.rpm
5d4120af9e43f94321d571f7c8c45d52 2008.0/x86_64/perl-suid-5.8.8-12.3mdv2008.0.x86_64.rpm
76551980f8370263a6779a7edd9632fb 2008.0/SRPMS/perl-5.8.8-12.3mdv2008.0.src.rpm
Mandriva Linux 2010.0:
acc75713ceb667d2be5fad9eff11b471 2010.0/i586/perl-5.10.1-3.1mdv2010.0.i586.rpm
6ca2a840fa007634505c9cfe0f074e2b 2010.0/i586/perl-base-5.10.1-3.1mdv2010.0.i586.rpm
1fa50757db9d329310fdc732a6b47cef 2010.0/i586/perl-devel-5.10.1-3.1mdv2010.0.i586.rpm
4e28137d359374d5e25073545f2af193 2010.0/i586/perl-doc-5.10.1-3.1mdv2010.0.i586.rpm
5819b00cdf8fc349eea18c54f8a25938 2010.0/i586/perl-suid-5.10.1-3.1mdv2010.0.i586.rpm
7d8419885965a965539d8c989004032e 2010.0/SRPMS/perl-5.10.1-3.1mdv2010.0.src.rpm
Mandriva Linux 2010.0/X86_64:
a2367c0a7cc071ef6406db6a56ec6f0a 2010.0/x86_64/perl-5.10.1-3.1mdv2010.0.x86_64.rpm
c436096f31e4254d10b81559fd9f2b89 2010.0/x86_64/perl-base-5.10.1-3.1mdv2010.0.x86_64.rpm
ed4b9c4f537b826af11e1143cc7a7d7c 2010.0/x86_64/perl-devel-5.10.1-3.1mdv2010.0.x86_64.rpm
2c6263cec2e63cb10ce8c4a4a604570a 2010.0/x86_64/perl-doc-5.10.1-3.1mdv2010.0.x86_64.rpm
c04288530931d3cb200c96f7812b8076 2010.0/x86_64/perl-suid-5.10.1-3.1mdv2010.0.x86_64.rpm
7d8419885965a965539d8c989004032e 2010.0/SRPMS/perl-5.10.1-3.1mdv2010.0.src.rpm
_______________________________________________________________________
To upgrade automatically use MandrivaUpdate or urpmi. The verification
of md5 checksums and GPG signatures is performed automatically for you.
All packages are signed by Mandriva for security. You can obtain the
GPG public key of the Mandriva Security Team by executing:
gpg –recv-keys –keyserver pgp.mit.edu 0x22458A98
You can view other update advisories for Mandriva Linux at:
http://www.mandriva.com/security/advisories
If you want to report vulnerabilities, please contact
security_(at)_mandriva.com
_______________________________________________________________________
Type Bits/KeyID Date User ID
pub 1024D/22458A98 2000-07-10 Mandriva Security Team
– —–BEGIN PGP SIGNATURE—–
Version: GnuPG v1.4.9 (GNU/Linux)
iD8DBQFMEobOmqjQ0CJFipgRAmtIAJ9QbzJCN7V+05GgAq8iIXkk9NtpewCfcij4
jR9RRZ1n8uuR8qGNGEVIWnQ=
=rki+
– —–END PGP SIGNATURE—–
—–BEGIN PGP SIGNATURE—–
Version: GnuPG v2.0.9 (GNU/Linux)
iEYEARECAAYFAkwWSJUACgkQWmhIvjFb90VZBACdG3Ja+VTSsnngfPQjcdNFDI8G
TYQAmwQzlrhuHh99vqFpJxpWKzF4SDe7
=0dkO
—–END PGP SIGNATURE—–
