[Segurança] [DSA 292-3] Novos pacotes mime-support "realmente" corrigem criação insegura de arquivo temporário

Michelle Ribeiro <[email protected]> Thu, 1 May 2003 10:20:15 +0000

Newsgroups	gmane.linux.debian.user.news.portuguese
Message-ID	<[email protected]>

--------------------------------------------------------------------------
Alerta de SeguranÃ§a Debian DSA 292-3                   [email protected]
http://www.debian.org/security/                             Martin Schulze
30 de Abril de 2003			http://www.debian.org/security/faq
--------------------------------------------------------------------------

Pacote			: mime-support
Vulnerabilidade		: criaÃ§Ã£o insegura de arquivo temporÃ¡rio
Tipo de Problema	: local
EspecÃfico ao Debian	: nÃ£o

Martin Schulze, autor dos DSAs, esclarece:

"Estou extrema e sinceramente sentido. Aparentemente, nÃ£o tive tempo 
necessÃ¡rio para esta questÃ£o e produzi testes insuficientes nesta
atualizaÃ§Ã£o. Farei meu melhor para que isso nÃ£o se repita".

Esta atualizaÃ§Ã£o corrige o segundo problema do alerta original:

  Quando o run-mailcap Ã© executado em um arquivo com um nome
  potencialmente problemÃ¡tico, um arquivo temporÃ¡rio Ã© criado (agora
  nÃ£o inseguramente), removido e um link simbÃ³lico para este arquivo
  Ã© criado. Um atacante pode recriar o arquivo antes do link simbÃ³lico
  ser criado, forÃ§ando o programa a exibir um conteÃºdo diferente.

Na atual distribuiÃ§Ã£o estÃ¡vel (woody), este problema foi corrigido na
versÃ£o 3.18-1.3.

Na antiga distribuiÃ§Ã£o estÃ¡vel (potato), este problema foi corrigido na
versÃ£o 3.9-1.3.

Na distribuiÃ§Ã£o instÃ¡vel (sid), este problema foi corrigido na versÃ£o
3.23-1.

NÃ³s recomendamos que vocÃª atualize seus pacotes mime-support.


--------------------------------------------------------------------------
Essa Ã© uma traduÃ§Ã£o do DSA original, enviado para a lista 
[email protected]. Caso queira receber os 
alertas em inglÃªs e minutos depois de sua publicaÃ§Ã£o, inscreva-se na 
lista acima, atravÃ©s do endereÃ§o:
http://www.debian.org/MailingLists/subscribe#debian-security-announce
--------------------------------------------------------------------------

signature.asc (application/pgp-signature, 189 B)

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.0.6 (GNU/Linux)

iD8DBQE+sPTkUZHqc88V/gERAsJhAKDj7SEftE03ONiF5IA+nKylLXG/VQCg4Lom
qRc2ZpaU5wqLRJ+ZiU9LiCo=
=dsMU
-----END PGP SIGNATURE-----