[Segurança] [DSA 316-1 e 2] Novos pacotes nethack e slashem corrigem buffer overflow e permissões incorretas

--------------------------------------------------------------------------
Alerta de Segurança Debian DSA 316-1                   [email protected]
http://www.debian.org/security/                             Matt Zimmerman 
13 de junho de 2003                     http://www.debian.org/security/faq
--------------------------------------------------------------------------

Pacote                  : nethack, slashem
Vulnerabilidade         : buffer overflow e permissões incorretas
Tipo de Problema        : local
Específico ao Debian    : não
Id CVE                  : CAN-2003-0358 CAN-2003-0359

Os pacotes nethack e slashem são vulneráveis a um exploit que usa a
opção menos '-s' da linha de comando. Esta vulnerabilidade pode ser
usada por um atacante para obter o gid 'games' em um sistema onde o
nethack é instalado.

Adicionalmente, alguns binários setgid do pacote nethack têm permissões
incorretas, o que pode permitir que um usuário que obtenha o gid 'games'
substitua estes binários, fazendo com que, potencialmente, outros usuários
executem código malicioso quando executam o nethack.

Note que o slashem não contem o problema com permissões do CAN-2003-0359.

Na atual distribuição estável (woody), estes problemas foram corrigidos
na versão 3.4.0-3.0woody3.

Na antiga distribuição estável (potato), estes problemas foram corrigidos
na versão 3.3.0-7potato1.

Na distribuição instável (sid), estes problemas foram corrigidos na
versão 3.4.1-1.

Nós recomendamos que você atualize seus pacotes nethack.

Na atual distribuição estável (woody), estes problemas foram corrigidos
na versão 0.0.6E4F8-4.0woody3.

Na antiga distribuição estável (potato), estes problemas foram corrigidos
na versão 0.0.5E7-3potato1.

Na distribuição instável (sid), estes problemas foram corrigidos na
versão 0.0.6E4F8-6.

Nós recomendamos que você atualize seus pacotes slashem.

--------------------------------------------------------------------------
Essa é uma tradução do DSA original, enviado para a lista 
[email protected]. Caso queira receber os 
alertas em inglês e minutos depois de sua publicação, inscreva-se na 
lista acima, através do endereço:
http://www.debian.org/MailingLists/subscribe#debian-security-announce
--------------------------------------------------------------------------

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.0.6 (GNU/Linux)

iD8DBQE+6bDaUZHqc88V/gERAhxQAKC1/kCH/XvMBotYKtxppCLEY+H8CQCfVwjD
IS2ci4vbz54fMeSjvlmOA9o=
=YhYQ
-----END PGP SIGNATURE-----