GLSA 200804-08: lighttpd: Multiple vulnerabilities

http://security.gentoo.org/

Опасность:	средняя
Заголовок:	lighttpd: Multiple vulnerabilities
Дата:	10.04.2008
Ошибки:	#212930, #214892
ID:	200804-08

Сводка

Multiple vulnerabilities in lighttpd may lead to information disclosure or a Denial of Service.

Назначение

lighttpd is a lightweight high-performance web server.

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
www-servers/lighttpd	< 1.4.19-r2	>= 1.4.19-r2	All supported architectures

Описание

Julien Cayzax discovered that an insecure default setting exists in mod_userdir in lighttpd. When userdir.path is not set the default value used is $HOME. It should be noted that the "nobody" user's $HOME is "/" (CVE-2008-1270). An error also exists in the SSL connection code which can be triggered when a user prematurely terminates his connection (CVE-2008-1531).

Воздействие

A remote attacker could exploit the first vulnerability to read arbitrary files. The second vulnerability can be exploited by a remote attacker to cause a Denial of Service by terminating a victim's SSL connection.

Обход

As a workaround for CVE-2008-1270 you can set userdir.path to a sensible value, e.g. "public_html".

Решение

All lighttpd users should upgrade to the latest version:

    # emerge --sync
    # emerge --ask --oneshot --verbose ">=www-servers/lighttpd-1.4.19-r2"

Ссылки

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-200804-08.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.