Debian DSA-2234-1：zodb - 複数の脆弱性

high Nessus プラグイン ID 53861

Language:

概要

リモートのDebianホストにセキュリティ関連の更新プログラムがありません。

説明

ZODB を使用するためのツールセットである python-zodb に、最悪の場合は任意のコードの実行につながる可能性がある複数のリモートの脆弱性が発見されました。Common Vulnerabilities and Exposuresプロジェクトは次の問題を特定しています：

- CVE-2009-0668 ZEO サーバーは、悪意のあるクライアントから受信したデータを非 Pickle 化するときに、callable を制限しません。攻撃者がこれを利用して、特定の例外 Pickle を送信することで、任意の Python コードを実行する可能性があります。
また、ZEO が特定のフラグをテストするための pickle 内で指定されている callable を含むモジュールをインポートするときに、攻撃者が任意のインポート可能なモジュールをインポートする可能性があります。

- CVE-2009-0669 プログラミングエラーにより、ZEO の StorageServer コンポーネントの承認メソッドが、内部メソッドとして使用されていませんでした。これにより、悪意のあるクライアントが、単純にこの認証メソッドを呼び出すことで ZERO サーバーに接続するときに認証をバイパスすることができます。

また、この更新は、クライアントがリクエストできる新しいオブジェクト ID の数を 100 に制限します。これは、新しいオブジェクト ID を大量にリクエストすることで、大量のリソースを消費する可能性があったためです。これには、CVE ID は割り当てられていません。

ソリューション

zodb パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（lenny）では、この問題はバージョン 1:3.6.0-2+lenny3 で修正されました。

安定版（stable）ディストリビューション（squeeze）は影響を受けません。これは、最初のリリースの前に修正されました。