Debian DSA-2335-1：man2html - 入力サニタイズの欠落

medium Nessus プラグイン ID 56715

Language:

概要

リモートのDebianホストにセキュリティ関連の更新プログラムがありません。

説明

Tim Starling 氏は、UNIX man ページを HTML に変換するプログラムである、man2html 用のDebian-native CGI ラッパーが、さまざまなエラーメッセージを表示する際にユーザー指定の入力を適切にエスケープしないことを発見しました。リモートの攻撃者がこの欠陥を悪用し、クロスサイトスクリプティング（XSS）攻撃を仕掛ける可能性があります。

ソリューション

man2htmlパッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（lenny）では、この問題はバージョン1.6f-3+lenny1で修正されました。

安定版（stable）ディストリビューション（squeeze）については、この問題はバージョン 1.6f+repack-1+squeeze1 で修正されています。