GLSA 200312-08: CVS: possible root compromise when using CVS pserver

http://security.gentoo.org/

Опасность:	высокая
Заголовок:	CVS: possible root compromise when using CVS pserver
Дата:	28.12.2003
Ошибки:	#36142
ID:	200312-08

Сводка

A possible root compromise exists for CVS pservers.

Назначение

CVS, which stands for Concurrent Versions System, is a client/server application which tracks changes to sets of files. It allows multiple users to work concurrently on files, and then merge their changes back into the main tree (which can be on a remote system). It also allows branching, or maintaining separate versions for files.

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
dev-util/cvs	<= 1.11.10	>= 1.11.11	All supported architectures

Описание

Quote from ccvs.cvshome.org/servlets/NewsItemView?newsID=88: "Stable CVS 1.11.11 has been released. Stable releases contain only bug fixes from previous versions of CVS. This release adds code to the CVS server to prevent it from continuing as root after a user login, as an extra failsafe against a compromise of the CVSROOT/passwd file. Previously, any user with the ability to write the CVSROOT/passwd file could execute arbitrary code as the root user on systems with CVS pserver access enabled. We recommend this upgrade for all CVS servers!"

Воздействие

A remote user could execute arbitrary code with the permissions of the root user.

Обход

There is no known workaround at this time.

Решение

All Gentoo Linux machines with cvs installed should be updated to use cvs-1.11.11 or higher.

    # emerge sync
    # emerge -pv '>=dev-util/cvs-1.11.11'
    # emerge '>=dev-util/cvs-1.11.11'
    # emerge clean

Ссылки

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-200312-08.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.