—–BEGIN PGP SIGNED MESSAGE—–
Liebe Kolleginnen und Kollegen,
soeben erreichte uns nachfolgendes Fedora Security Advisory. Wir geben
diese Informationen unveraendert an Sie weiter.
Der Text-basierte Webbrowser lynx kann ueber den URL-Handler lynxcgi://
direkt CGI-Skripte ausfuehren und das Ergebnis anzeigen, wozu
normalerweise zusaetzlich ein Webserver notwendig waere.
CVE-2008-4690 – Schwachstelle im lynx URL Handler
Die Schwachstelle CVE-2005-2929 in lynx in Verbindung mit lynxcgi://
URLs wurde nicht geschlossen, sondern durch den Patch wurde der Zugriff
auf lynxcgi:// URLs im Normal Modus unterbunden. Die Schwachstelle
laesst sich im weiter im Advanced Modus ausnutzen. Dies kann z.B. der
Fall sein, wenn lynx von der Kommandozeile gestartet wurde und der
URL-Handler fuer lynxcgi:// aktiviert ist. Ein entfernter Angreifer kann
diese Schwachstelle ausnutzen um beliebige Befehle mit den Rechten des
Benutzers auszufuehren.
Betroffen sind die folgenden Software Pakete und Plattformen:
Paket lynx
Fedora 8
Fedora 9
Fedora 10
Vom Hersteller werden ueberarbeitete Pakete zur Verfuegung gestellt.
Hersteller Advisory:
https://www.redhat.com/archives/fedora-package-announce/2008-December/msg00065.html
https://www.redhat.com/archives/fedora-package-announce/2008-December/msg00066.html
https://www.redhat.com/archives/fedora-package-announce/2008-December/msg00143.html
(c) der deutschen Zusammenfassung bei DFN-CERT Services GmbH; die
Verbreitung, auch auszugsweise, ist nur unter Hinweis auf den Urheber,
DFN-CERT Services GmbH, und nur zu nicht kommerziellen Zwecken
gestattet.
Mit freundlichen Gruessen,
Andreas Bunten, DFN-CERT
– —
Andreas Bunten (Incident Response Team), +49 40 808077-555
DFN-CERT Services GmbH, https://www.dfn-cert.de, Phone +49 40 808077-555
Sitz / Register: Hamburg, AG Hamburg, HRB 88805, Ust-IdNr.: DE 232129737
Sachsenstrasse 5, 20097 Hamburg/Germany, CEO: Dr. Klaus-Peter Kossakowski
Automatische Warnmeldungen https://www.cert.dfn.de/autowarn
– ——————————————————————————–
Fedora Update Notification
FEDORA-2008-9952
None
– ——————————————————————————–
Name : lynx
Product : Fedora 10
Version : 2.8.6
Release : 18.fc10
URL : http://lynx.isc.org/
Summary : A text-based Web browser
Description :
Lynx is a text-based Web browser. Lynx does not display any images,
but it does support frames, tables, and most other HTML tags. One
advantage Lynx has over graphical browsers is speed; Lynx starts and
exits quickly and swiftly displays webpages.
– ——————————————————————————–
ChangeLog:
* Fri Nov 7 2008 Jiri Moskovcak
– – Fixed CVE-2008-4690 lynx: remote arbitrary command execution.
via a crafted lynxcgi: URL (thoger)
– ——————————————————————————–
References:
[ 1 ] Bug #468184 – CVE-2008-4690 lynx: remote arbitrary command execution via a crafted lynxcgi: URL
https://bugzilla.redhat.com/show_bug.cgi?id=468184
– ——————————————————————————–
This update can be installed with the “yum” update program. Use
su -c ‘yum update lynx’ at the command line.
For more information, refer to “Managing Software with yum”,
available at http://docs.fedoraproject.org/yum/.
All packages are signed with the Fedora Project GPG key. More details on the
GPG keys used by the Fedora Project can be found at
http://fedoraproject.org/keys
– ——————————————————————————–
—–BEGIN PGP SIGNATURE—–
Version: GnuPG v1.4.2 (GNU/Linux)
iQEVAwUBSTZnckhXCWfrVVdXAQE1rAf9HuDRTDPA9uSrcwpJGgre3gfzjgTMZ28P
NzHY7mu/DCI9f1pf4RFeoVfbDe/pu7b51UPZlTKt0G37XXUyI9tjjrB/F54aVC7T
ZrubXt+njEaIi6pXZaLlYqVAIXPq110OQn+hKyjzHdfU+uBSngYo0ovqjMCVLrUF
G/MI9h8gAwEZbK+xeMG+kRyDZDmbSExs4or4VUwSgrZT8dwBmtNiI2LgyppC56zY
A2btsvgfeyLyBSNj+SETzwmLmYRR/cyrzs+xbDcjBfZ765TmEl+vlBDspJVYxq7Q
9lPf1ueh8iLKJ1+cdy5x2MSxmzxHFHgwW794peudorpCHVgOTYowPQ==
=m/1V
—–END PGP SIGNATURE—–
