Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Paket php-pear

Betroffene Plattformen:

Mandriva Linux 2010.1
Mandriva Linux 2010.1/X86_64
Mandriva Enterprise Server 5
Mandriva Enterprise Server 5/X86_64

Schwachstellen in PHP-PEAR erlauben lokalen Angreifern beliebige Dateien mit
den Rechten eines anderen Benutzers ÃŒberschreiben zu lassen.

Software Upgrade:

Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.

http://www.mandriva.com/security

CVE-2011-1072: Schwachstelle in PHP-PEAR

Das Kommando “pear” des PHP Extension und Application Repository (PEAR)
erzeugt temporÀre Dateien auf unsichere Weise beim Installieren von Paketen.
Dies erlaubt einem lokalen Angreifer mittels prÀparierter Symlinks, welche
die zu erwartenden Namen der temporÀren Dateien haben, beliebige Dateien mit
den Rechten des Benutzers zu ÃŒberschreiben.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2011-1924/

Das Hersteller Advisory:
http://www.mandriva.com/security/advisories?name=MDVSA-2011:187

Schwachstelle CVE-2011-1072:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-1072

(c) DFN-CERT Services GmbH
Die nicht kommerzielle Weiterverbreitung ist mit Hinweis auf den
Copyrightinhaber erlaubt.