GLSA 200601-15: Paros: Default administrator password

http://security.gentoo.org/

Опасность:	высокая
Заголовок:	Paros: Default administrator password
Дата:	29.01.2006
Ошибки:	#120352
ID:	200601-15

Сводка

Paros's database component is installed without a password, allowing execution of arbitrary system commands.

Назначение

Paros is an intercepting proxy between a web server and a client meant to be used for security assessments. It allows the user to watch and modify the HTTP(S) traffic.

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
net-proxy/paros	<= 3.2.5	> 3.2.5	All supported architectures

Описание

Andrew Christensen discovered that in older versions of Paros the database component HSQLDB is installed with an empty password for the database administrator "sa".

Воздействие

Since the database listens globally by default, an attacker can connect and issue arbitrary commands, including execution of binaries installed on the host.

Обход

There is no known workaround at this time.

Решение

All Paros users should upgrade to the latest version:

    # emerge --snyc
    # emerge --ask --oneshot --verbose ">=net-proxy/paros-3.2.8"

Ссылки

CVE-2005-3280

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-200601-15.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.