Sistemas Afectados

1. Descripción

   Trustix liberó actualizaciones para varios paquetes. Estas reparan varias vulnerabilidades que pueden explotarse por usuarios malicosos para obtener información sensible, y por personas maliciosas para ocasionar una negación de servicio (DoS), sobreescribir archivos arbitrarios y comprometer un sistema vulnerable.

   Las actualizaciones incluyen:

   • clamav:
     - Edición de freshclam a fin de que fresclam pueda iniciar cuando $LOGFILE este vacio.
     
   • ccplus:
     - Actualización a la versión 2.5.2.
     
   • dev:
     - Se agregarón las entradas drbd* a /dev.
     
   • imagemagick:
     - Se reparó una vulnerabiliad de desbordamiento de heap en el lector de PNM, reportada por Damian Put.
     
   • kerberos5:
     - Reparación de seguridad al rcp de krb5, basado en la actualización de Markus Frield para el scp de OpenSSH
     
   • kernel:
     - Se agregó soporte para IPX.
     
   • openldap:
   • pam_ldap:
     - Reparación de openldap, cuando se conectaba a un esclavo utilizando TLS, si este se referia como master se dejaba de utilizar TLS, ocasionando que la contraseña se enviara en claro y permitiendo que atacantes remotos obtuvieran dicho password. También fue reparado en pam_ldap.
     
   • php:
     - Actualización de seguridad para la librería XML-RPC para PHP, permitía le ejecución remota de código arbitrario.
     

     Ver:
     Vulnerabilidad no especificada de ejecución de código PHP en XML-RPC para PHP

   • sqlgrey:
     - Recontrucción dentro de perl-net-server 0.88 para reparar lockups.
     
   • perl-net-server:
   • swup:
     - Actualización.

2. Impacto

   Manipulación de datos.

   Exposición de información sensible.

   Negación de servicio (DoS).

   Acceso al sistema.

3. Solución

   Aplicar los paquetes actualizados.

   Trustix 2.2:
   http://http.trustix.org/pub/trustix/updates/
   ftp://ftp.trustix.org/pub/trustix/updates/

   e90a1caad686759c5907e2625ae56106 2.2/rpms/clamav-0.86.1-2tr.i586.rpm
   3530142ef7267bce60dfd09b91c4664a 2.2/rpms/clamav-devel-0.86.1-2tr.i586.rpm
   6fd49b1defa520429c89f910d0eb91f4 2.2/rpms/cpplus-2.5.2-1tr.i586.rpm
   586f2230cb2a89ea70b997b9493086f6 2.2/rpms/dev-2.7.19-5tr.i586.rpm
   3c996bc9c1457ddeee37c66130fdd0bf 2.2/rpms/imagemagick-6.2.3-1tr.i586.rpm
   b2e9f3263c988f57d71d8f1ab1463320 2.2/rpms/imagemagick-devel-6.2.3-1tr.i586.rpm
   b1a3e9838c51ca365d59d5adf906cc95 2.2/rpms/kerberos5-1.3.6-4tr.i586.rpm
   c7c011edfc739c997ebadb7179165063 2.2/rpms/kerberos5-devel-1.3.6-4tr.i586.rpm
   44bb902366e7afbc588ad279ca3ce5f9 2.2/rpms/kerberos5-libs-1.3.6-4tr.i586.rpm
   d2da6d2ae9ceefd770ca3222affff1d3 2.2/rpms/kernel-2.4.31-2tr.i586.rpm
   e24ea5ebb81cdeae7ec9b11d1d469544 2.2/rpms/kernel-BOOT-2.4.31-2tr.i586.rpm
   e112a4362b23abdd4d36b43d053d09ab 2.2/rpms/kernel-doc-2.4.31-2tr.i586.rpm
   c50a54043ad6989d0e976aa5fcf21e50 2.2/rpms/kernel-smp-2.4.31-2tr.i586.rpm
   b2a2d46f77c91860a33c6b41d30ff4bc 2.2/rpms/kernel-source-2.4.31-2tr.i586.rpm
   b5c5a6d7dbcff9f9d0c96719bcf852e7 2.2/rpms/kernel-utils-2.4.31-2tr.i586.rpm
   491747326ed22372e2345d2eec576b9a 2.2/rpms/ldapclients-common-175-2tr.i586.rpm
   f6f202894ba1573566f0db35b1fffb7f 2.2/rpms/openldap-2.1.30-5tr.i586.rpm
   ab71e6bd27d8824c93b3cca3548a99d4 2.2/rpms/openldap-devel-2.1.30-5tr.i586.rpm
   9cafbafd0d2f225a4fb5c6d7b2abfcdc 2.2/rpms/openldap-libs-2.1.30-5tr.i586.rpm
   a2f6f10d49726ebb7e66fd38f1af5eb1 2.2/rpms/openldap-servers-2.1.30-5tr.i586.rpm
   41c57e368a7f925c236e499852785e32 2.2/rpms/openldap-utils-2.1.30-5tr.i586.rpm
   44471e628f2bbc5bcaa62fe86cced188 2.2/rpms/pam_ldap-175-2tr.i586.rpm
   ec02f260498414e6b5bac58fb5005641 2.2/rpms/perl-image-magick-6.2.3-1tr.i586.rpm
   fb83d1cf0bcfdf917bb3e3707a403195 2.2/rpms/perl-net-server-0.88-1tr.i586.rpm
   42f38ef86104c344515904e30a3431cc 2.2/rpms/php-5.0.4-6tr.i586.rpm
   3240fb568015221123c963697b6aa2c1 2.2/rpms/php-cli-5.0.4-6tr.i586.rpm
   c1e74610a791a25648bd0af030620c5f 2.2/rpms/php-devel-5.0.4-6tr.i586.rpm
   e320cf23d8d08ad9e4dd596ac362983a 2.2/rpms/php-exif-5.0.4-6tr.i586.rpm
   f7748285857a5feff255e7959c5974b3 2.2/rpms/php-gd-5.0.4-6tr.i586.rpm
   ae86b131fe7ec0551dad3858c1d8a141 2.2/rpms/php-imap-5.0.4-6tr.i586.rpm
   cbffe35fabd3e367c17b8bb82fe2e051 2.2/rpms/php-ldap-5.0.4-6tr.i586.rpm
   b442034d7ed3262f8a5b558edda0edc1 2.2/rpms/php-mhash-5.0.4-6tr.i586.rpm
   f5deeddcf183d23874c9d4fcb22a0df2 2.2/rpms/php-mysql-5.0.4-6tr.i586.rpm
   e519d3fd25551a09006d1385266bcf90 2.2/rpms/php-mysqli-5.0.4-6tr.i586.rpm
   1188c7201aab95ead31da28c9ac8eebf 2.2/rpms/php-pgsql-5.0.4-6tr.i586.rpm
   e5c11a414c995a90e973391d9953bbb2 2.2/rpms/php-zlib-5.0.4-6tr.i586.rpm
   50192f5ac2f0ebc8d1443f9090649504 2.2/rpms/php4-4.3.11-4tr.i586.rpm
   f316caec24aaa8d46a86d1c42b1a9c05 2.2/rpms/php4-cli-4.3.11-4tr.i586.rpm
   dc9705afbcde0be97c4c242f2fc12c44 2.2/rpms/php4-devel-4.3.11-4tr.i586.rpm
   d82cf7499652d65a86a4d9f16cdff77d 2.2/rpms/php4-domxml-4.3.11-4tr.i586.rpm
   a05f2784fbd0b9d879ac0b510aeae6b7 2.2/rpms/php4-exif-4.3.11-4tr.i586.rpm
   def4455afbcba56436fb6fe6fb7329a7 2.2/rpms/php4-gd-4.3.11-4tr.i586.rpm
   ae49762583a1f45c1ac227a903769cc1 2.2/rpms/php4-imap-4.3.11-4tr.i586.rpm
   c94e4a0bd423fbd18f2dd1127ee2268e 2.2/rpms/php4-ldap-4.3.11-4tr.i586.rpm
   84adadd7ff3923a2cf75aaef4a6a150c 2.2/rpms/php4-mhash-4.3.11-4tr.i586.rpm
   342e010d1f69fe29765f89ac34c4dbca 2.2/rpms/php4-mysql-4.3.11-4tr.i586.rpm
   f836085b1518a19565b7cebd6f8681d4 2.2/rpms/php4-pgsql-4.3.11-4tr.i586.rpm
   32dea890cd61fcc26fd71eea62e19d6e 2.2/rpms/php4-test-4.3.11-4tr.i586.rpm
   785b3e966e9b9d4c0db78f1368420860 2.2/rpms/sqlgrey-1.6.1-1tr.i586.rpm
   cdc640a4893850b61ddf6e5619a91cb4 2.2/rpms/swup-2.7.9-2tr.i586.rpm
   221c91b5c422212c8726241f80aca256 2.2/rpms/swup-conf-2.7.9-2tr.i586.rpm
   eca49fe2288124655ed5eb258913fac6 2.2/rpms/swup-cron-2.7.9-2tr.i586.rpm
   411d69f85f62a357416909b66103f2f8 2.2/rpms/swup-libs-2.7.9-2tr.i586.rpm
   d56181e17baf50cf3572158e73703818 2.2/rpms/swup-rdfgen-2.7.9-2tr.i586.rpm
   

4. Apéndices

   Mayor información.

   http://www.trustix.org/
   http://www.seguridad.unam.mx/vulnerabilidades/

La Coordinación de Seguridad de la Información/UNAM-CERT agradece el apoyo en la elaboración ó traducción y revisión de éste Documento a:

• Floriberto López Velázquez (flopez at seguridad dot unam dot mx)