—–BEGIN PGP SIGNED MESSAGE—–
Hash: SHA1
Liebe Kolleginnen und Kollegen,
soeben erreichte uns nachfolgendes Fedora Security Advisory. Wir geben
diese Informationen unveraendert an Sie weiter.
CVE-2009-2942 – Fehlender Aufruf von in den mysql_real_escape_string()
in den MySQL OCaml Bindings
In den OCaml Bindings fuer MySQL fehlt ein Aufruf der Funktion
mysql_real_escape_string(), was dazu fuehrt, dass SQL Metazeichen bei
bestimmten Multibyte Zeichensaetzen nicht ausreichend maskiert werden.
Dadurch koennen entfernte Angreifer evtl. beliebigen SQL-Code mit den
Rechten OCaml Programms in der Datenbank ausfuehren.
Betroffen sind die folgenden Software Pakete und Plattformen:
Paket ocaml
Fedora 10
Fedora 11
Vom Hersteller werden ueberarbeitete Pakete zur Verfuegung gestellt.
Hersteller Advisory:
https://www.redhat.com/archives/fedora-package-announce/2009-November/msg00381.html
https://www.redhat.com/archives/fedora-package-announce/2009-November/msg00325.html
(c) der deutschen Zusammenfassung bei DFN-CERT Services GmbH; die
Verbreitung, auch auszugsweise, ist nur unter Hinweis auf den Urheber,
DFN-CERT Services GmbH, und nur zu nicht kommerziellen Zwecken
gestattet.
Mit freundlichen Gruessen,
Michael Groening, DFN-CERT
– —
Michael Groening (Incident Response Team)
DFN-CERT Services GmbH, https://www.dfn-cert.de, Phone +49 40 808077-555
Sitz / Register: Hamburg, AG Hamburg, HRB 88805, Ust-IdNr.: DE 232129737
Sachsenstrasse 5, 20097 Hamburg/Germany, CEO: Dr. Klaus-Peter Kossakowski
Automatische Warnmeldungen https://www.cert.dfn.de/autowarn
– ——————————————————————————–
Fedora Update Notification
FEDORA-2009-10701
2009-10-21 00:13:15
– ——————————————————————————–
Name : ocaml-mysql
Product : Fedora 11
Version : 1.0.4
Release : 8.fc11.1
URL : http://raevnos.pennmush.org/code/ocaml-mysql/
Summary : OCaml library for accessing MySQL databases
Description :
ocaml-mysql is a package for ocaml that provides access to mysql
databases. It consists of low level functions implemented in C and a
module Mysql intended for application development.
– ——————————————————————————–
Update Information:
Patch for CVE 2009-2942 Missing escape function (RHBZ#529321).
– ——————————————————————————–
ChangeLog:
* Fri Oct 16 2009 Richard W.M. Jones
– – Patch for CVE 2009-2942 Missing escape function (RHBZ#529321).
– ——————————————————————————–
References:
[ 1 ] Bug #529321 – CVE-2009-2942 ocaml-mysql: Missing escape function (DSA-1910-1)
https://bugzilla.redhat.com/show_bug.cgi?id=529321
– ——————————————————————————–
This update can be installed with the “yum” update program. Use
su -c ‘yum update ocaml-mysql’ at the command line.
For more information, refer to “Managing Software with yum”,
available at http://docs.fedoraproject.org/yum/.
All packages are signed with the Fedora Project GPG key. More details on the
GPG keys used by the Fedora Project can be found at
http://fedoraproject.org/keys
– ——————————————————————————–
—–BEGIN PGP SIGNATURE—–
Version: GnuPG v1.4.2 (GNU/Linux)
iD8DBQFK+rgXk0kIxZMiiQ8RAlMvAJ9xQ8TJ9z3wXRRmTK0JJ9wxb2nXSQCfcSJI
LWKUPKHMuG+jb4OW+AiUheo=
=UzSA
—–END PGP SIGNATURE—–
