Debian DSA-2179-1：dtc - SQL インジェクション

high Nessus プラグイン ID 52513

Language:

概要

リモートのDebianホストにセキュリティ関連の更新プログラムがありません。

説明

Ansgar Burchardt 氏は、管理およびアカウントホストサービスの Web コントロールパネルである DTC で複数の脆弱性を発見しました。

- CVE-2011-0434 bw_per_moth.php グラフに SQL インジェクションの脆弱性が含まれます。

- CVE-2011-0435 bw_per_month.php のチェックが不十分なために、帯域幅使用による情報漏洩が起こる可能性があります。

- CVE-2011-0436 登録後、パスワードが平文の電子メールメッセージで送信されます。

- CVE-2011-0437 認証されたユーザーが、誤ってパッケージに含まれていた古いインターフェイスを使用してアカウントを削除する可能性があります。

この更新により、電子メールメッセージの中の平文パスワードの存在を制御する、新たな構成オプションが導入されます。デフォルトでは、平文パスワードは含まれません。

ソリューション

dtc パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（lenny）では、この問題はバージョン0.29.17-1+lenny1で修正されています。

安定版（stable）ディストリビューション（squeeze）およびテスト版（testing）ディストリビューション（wheezy）には、dtc パッケージは含まれていません。