Debian DSA-1863-1：zope2.10/zope2.9 - 複数の脆弱性

high Nessus プラグイン ID 44728

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

Python で書かれた、豊富な機能を搭載した Web アプリケーションサーバーである Zope に、いくつかのリモートの脆弱性が発見されました。これにより、最悪の場合、任意のコードが実行される可能性があります。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2009-0668 プログラミングエラーにより、ZEO の StorageServer コンポーネントの承認メソッドが、内部メソッドとして使用されていませんでした。これにより、悪意のあるクライアントが、単純にこの認証メソッドを呼び出すことで ZERO サーバーに接続するときに認証をバイパスすることができます。

- CVE-2009-0668 ZEO サーバーは、悪意のあるクライアントから受信したデータを非 Pickle 化するときに、callable を制限しません。攻撃者がこれを利用して、特定の例外 Pickle を送信することで、任意の Python コードを実行する可能性があります。
また、ZEO が特定のフラグをテストするための pickle 内で指定されている callable を含むモジュールをインポートするときに、攻撃者が任意のインポート可能なモジュールをインポートする可能性があります。

- また、この更新は、クライアントがリクエストできる新しいオブジェクト ID の数を 100 に制限します。これは、新しいオブジェクト ID を大量にリクエストすることで、大量のリソースを消費することが可能であったためです。これには、CVE ID は割り当てられていません。

旧安定版（oldstable）ディストリビューション（etch）では、この問題は zope2.9 のバージョン 2.9.6-4etch2 で修正されています。