Debian DSA-1882-1：xapian-omega - 入力サニタイズの欠落

medium Nessus プラグイン ID 44747

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

xapian データベースを検索する CGI インターフェイスである xapian-omega が、例外の出力時にユーザー指定の入力を適切にエスケープしていないことが判明しました。攻撃者がこれを使用し、細工された検索クエリで、クロスサイトスクリプティングの攻撃を実行し、例外を引き起こしたり、潜在的な機密データを、同一ドメインで実行しているか、Web サイトへ検索エンジンを埋め込んでいる Web アプリケーションから盗みだしたりする可能性があります。

ソリューション

xapian-omega パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（etch）では、この問題はバージョン 0.9.9-1+etch1 で修正されています。

安定版（stable）ディストリビューション（lenny）では、この問題はバージョン 1.0.7-3+lenny1 で修正されています。