我らハネト馬鹿: FreeBSD

FreeBSD

2009/05/18

drupalにクロスサイトスクリプティング脆弱性

drupalにクロスサイトスクリプティングを許容する脆弱性が報告されており、 drupal5およびdrupal6がアップデートされています。この脆弱性は常々指摘されてきたUTF-7の不完全さに起因するもので、UTF-8仕様に準拠したバイト列がUTF-7として解釈された場合に発生するとのことです。対象バージョンはdrupal5 5.11以前およびdrupal6 6.11以前。drupal5 5.11とdrupal6 6.11もこの問題に対する対策が含まれていましたが、これは不完全だったとのことで再度のアップデートが必要です。

VuXML: drupal -- cross-site scripting

2009/05/18 0:23:55 | FreeBSD, Security

cyrus-saslにバッファオーバーフローの危険がある脆弱性

cyrus-saslのsasl_encode64()に、文字列をbase64にエンコードする際にバッファオーバーフローが発生する危険のあるバグが報告されています。対象はバージョン2.1.22で、対策を施したバージョン2.1.23がリリースされています。

VuXML: cyrus-sasl -- buffer overflow vulnerability

2009/05/18 0:11:53 | FreeBSD, Security

libwmfに複数の脆弱性

libwmfに2件の脆弱性が報告されており、portsがアップデートされています。

ひとつはこのエントリのものと同じでGDライブラリによるメモリ使用に関するもの。もうひとつはWMFファイル内の値チェックを行わないために引き起こされる整数オーバーフローによるもの。いずれもlibwmf 0.2.8.4_2以前のバージョンが対象です。

VuXML: libwmf -- embedded GD library Use-After-Free vulnerability

VuXML: libwmf -- integer overflow vulnerability

2009/05/18 0:08:00 | FreeBSD, Security

2009/05/17

mod_perlにクロスサイトスクリプティング脆弱性

mod_perlのApache::StatusおよびApache2::Statusの処理にクロスサイトスクリプティング脆弱性が報告されており、portsがアップデートされています。対象となるのはmod_perl 1.30以前およびmod_perl2 2.04以前のバージョンです。

VuXML: mod_perl -- cross-site scripting

2009/05/17 23:59:38 | FreeBSD, Security

moinmoinに複数のクロスサイトスクリプティング脆弱性

moinmoinにクロスサイトスクリプティングを許容する複数の脆弱性が報告されており、portsがアップデートされています。対策が施された最新版はバージョン1.8.3。1.8.2でaction/AttachFile.pyとsecurity/antispam.pyのパラメータチェックに関する部分が修正されましたが、それに続いて1.8.3でもaction/AttachFile.pyに修正が加わっています。1.8.2は最新では無いので注意。

VuXML: moinmoin -- multiple cross site scripting vulnerabilities

VuXML: moinmoin -- cross-site scripting vulnerabilities

2009/05/17 23:53:11 | FreeBSD, Security

php-dbaにINIファイルを空にする危険のある脆弱性

php4-dbaおよびphp5-dbaのdba_replace()関数に、データベースキーが見つけられない場合にINIファイルを空にする危険のあるバグがあり、アップデートが公開されています。対象バージョンは5.2.6、4.4.9。portsよりアップデートできます。

VuXML: php -- ini database truncation inside dba_replace() function

2009/05/17 23:45:17 | FreeBSD, Security

2009/05/13

Pangoの整数オーバーフローの脆弱性を修正

Pangoにおける整数オーバーフローの脆弱性ですが、FreeBSDにおいてもpango、 linux-pango、linux-f8-pangoのそれぞれのportsがアップデートされています。

VuXML: pango -- integer overflow

2009/05/13 12:48:40 | FreeBSD, Security

2009/04/26

FreeBSD 7.2-RC2リリース

スケジュールより3日遅れになりますが、FreeBSD 7.2-RC2がリリースされました。

FreeBSD 7.2-RC2 Available

正式リリースは5月4日の予定です。

2009/04/26 23:44:13 | FreeBSD

2009/04/23

libcのdb(3)に情報漏洩の脆弱性

libcに含まれるdb(3)に、情報漏洩の危険がある脆弱性が報告されています。対象となるバージョンについては以下を参照。

http://security.freebsd.org/advisories/FreeBSD-SA-09:07.libc.asc

これはdb(3)によてBerkeleyデータベースファイルが作成される際にその領域が初期化されないためで、もしそこに重要な情報が消されずに残されていた場合、その情報がファイルから読み取れてしまう可能性があるとのことです。早急にシステムをアップデートするか、パッチを適用する必要があります。

2009/04/23 2:31:01 | FreeBSD, Security

OpenSSLにリモートからアプリケーションをクラッシュできる脆弱性

OpenSSLにリモートからの攻撃によってアプリケーションをクラッシュさせられる危険性のある脆弱性が報告されています。対象のバージョンについては以下を参照。

http://security.freebsd.org/advisories/FreeBSD-SA-09:08.openssl.asc

この脆弱性はASN1_STRING_print_ex関数がBMPStringおよびUniversalStringオブジェクトのlengthプロパティの値をチェックしないことに起因するもので、これによってOpenSSLが不正なメモリ領域にアクセスし、アプリケーションのクラッシュを引き起こすとのことです。早急にシステムをアップデートするか、パッチを適用する必要があります。

2009/04/23 2:21:24 | FreeBSD, Security

2009/04/18

ejabberdにクロスサイトスクリプティング脆弱性

Jabberサーバのひとつであるejabberdにクロスサイトスクリプティングを許容する脆弱性が報告されており、これに対処したejabberd 2.0.3がリリースされています。この脆弱性で、悪意あるコードによりCookieベースの認証証明書を奪取される危険性があるとのことです。portsよりアップデートできます。

VuXML: ejabberd -- cross-site scripting vulnerability

2009/04/18 11:24:31 | FreeBSD, Security

phpMyAdminに不正なコードを設定ファイルに埋め込める脆弱性

phpMyAdminに不正なPHPコードを設定ファイルに埋め込めるという脆弱性が報告されており、それに対処したphpMyAdmin 3.1.3.2がリリースされています。この脆弱性は、POSTリクエストを加工することによってphpMyAdminによって生成される設定ファイルに任意のPHPコードを埋め込むことができるというもので、これによって悪意のあるコードを実行される危険性があるとのことです。portsよりアップデートすることができます。

http://www.vuxml.org/freebsd/1a0e4cc6-29bf-11de-bdeb-0030843d3802.htmltitle

2009/04/18 11:15:45 | FreeBSD, Security

ziproxyにinformation-disclosureの脆弱性

Ziproxyにリレー接続に利用される危険性がある脆弱性が報告されており、これに対処したziproxy 2.7.0がリリースされています。この脆弱性は、プロキシが転送の可否をHTTPヘッダのHostプロパティの値を参照して判断しているとき、ヘッダを加工することでイントラネットなどへのリレーアクセスが可能になる危険性があるというものだそうです。portsよりアップデートできます。

VuXML: ziproxy -- multiple vulnerability

2009/04/18 11:06:48 | FreeBSD, Security