GLSA 200703-10: KHTML: Cross-site scripting (XSS) vulnerability

http://security.gentoo.org/

Опасность:	низкая
Заголовок:	KHTML: Cross-site scripting (XSS) vulnerability
Дата:	10.03.2007
Ошибки:	#165606
ID:	200703-10

Сводка

The KHTML component shipped with the KDE libraries is prone to a cross-site scripting (XSS) vulnerability.

Назначение

KDE is a feature-rich graphical desktop environment for Linux and Unix-like Operating Systems. KHTML is the HTML interpreter used in Konqueror and other parts of KDE.

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
kde-base/kdelibs	< 3.5.5-r8	>= 3.5.5-r8	All supported architectures

Описание

The KHTML code allows for the execution of JavaScript code located inside the "Title" HTML element, a related issue to the Safari error found by Jose Avila.

Воздействие

When viewing a HTML page that renders unsanitized attacker-supplied input in the page title, Konqueror and other parts of KDE will execute arbitrary JavaScript code contained in the page title, allowing for the theft of browser session data or cookies.

Обход

There is no known workaround at this time.

Решение

All KDElibs users should upgrade to the latest version:

    # emerge --sync
    # emerge --ask --oneshot --verbose ">=kde-base/kdelibs-3.5.5-r8"

Ссылки

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-200703-10.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.