GLSA 200312-04: CVS: malformed module request vulnerability

http://security.gentoo.org/

Опасность:	translation missing: ru, label_glsa_minimal
Заголовок:	CVS: malformed module request vulnerability
Дата:	08.12.2003
Ошибки:	#35371
ID:	200312-04

Сводка

A bug in cvs could allow attempts to create files and directories outside a repository.

Назначение

CVS, which stands for Concurrent Versions System, is a client/server application which tracks changes to sets of files. It allows multiple users to work concurrently on files, and then merge their changes back into the main tree (which can be on a remote system). It also allows branching, or maintaining separate versions for files.

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
dev-util/cvs	<= 1.11.9	>= 1.11.10	All supported architectures

Описание

Quote from ccvs.cvshome.org/servlets/NewsItemView?newsID=84: "Stable CVS 1.11.10 has been released. Stable releases contain only bug fixes from previous versions of CVS. This release fixes a security issue with no known exploits that could cause previous versions of CVS to attempt to create files and directories in the filesystem root. This release also fixes several issues relevant to case insensitive filesystems and some other bugs. We recommend this upgrade for all CVS clients and servers!"

Воздействие

Attempts to create files and directories outside the repository may be possible.

Обход

There is no known workaround at this time.

Решение

All Gentoo Linux machines with cvs installed should be updated to use dev-util/cvs-1.11.10 or higher:

    # emerge sync
    # emerge -pv '>=dev-util/cvs-1.11.10'
    # emerge '>=dev-util/cvs-1.11.10'
    # emerge clean

Ссылки

CAN-2003-0977

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-200312-04.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.