[Segurança] [DSA 422-1] Novo pacote cvs corrige múltiplos problemas do CVS

--------------------------------------------------------------------------
Alerta de Segurança Debian 422-1		       [email protected]
http://www.debian.org/security/			          Wichert Akkerman
13 de Janeiro de 2004			http://www.debian.org/security/faq
--------------------------------------------------------------------------

Pacote			: cvs
Vulnerabilidade		: múltiplos problemas
Tipo de Problema	: remoto
Específico ao Debian	: não
Id(s) do CVE		: CAN-2003-0977

O gerenciamento de contas do pserver CVS (que é utilizado para dar acesso
remoto aos repositórios do CVS) usa um arquivo CVSROOT/passwd em cada 
repositório que contenha as contas e suas informações de autenticação bem
como o nome da conta local unix para usar quando uma conta pserver for 
utilizada. Como o CVS não realiza nenhum tipo de checagem sobre qual conta
unix foi especificada, qualquer um que possa modifica o CVSROOT/passwd pode
obter acesso a todos os usuários locais no servidor CVS, incluindo o root.

Isso foi corrigido na versão original 1.11.11 prevenindo o pserver de rodar
como root. Para o Debian esse problema foi corrigido na versão 1.11.1p1debian-9
de duas maneiras diferentes:

* o pserver não tem mais permissão para usar o acesso de root aos repositórios

* um novo /etc/cvs-repouid é introduzido e pode ser usado pelo administrador do
  sistema para sobrescrever a conta unix especificada para acessar um
repositório.
  Mais informações sobre essa mudança podem ser encontradas em:
  http://www.wiggy.net/code/cvs-repouid/

Além disso, o pserver CVS possuía um erro na requisição de análises dos módulos
o
que podia ser usado para criar arquivos e diretórios fora do repositório. Esse
erro foi corrigido na versão original 1.11.11 e na versão Debian
1.11.1p1debian-9 .

Finalmente, a umask usada para o 'cvs init' e 'cvs-makerepos' foi modificada
para 
prevenir os repositórios de serem criados com permissões de escrita para grupos.

--------------------------------------------------------------------------
Essa é uma tradução do DSA original, enviado para a lista 
[email protected]. Caso queira receber os 
alertas em inglês e minutos depois de sua publicação, inscreva-se na 
lista acima, através do endereço:
http://www.debian.org/MailingLists/subscribe#debian-security-announce
--------------------------------------------------------------------------
	
        Henrique Pedroni Neto - kirkham <[email protected]>
 *******************************************************************
   .''`.   Debian Weekly News: <http://www.debian.org/News/weekly>
  : :'  :  Debian BR.........: <http://debian-br.cipsga.org.br>   
  `. `'`        Equipe de Imprensa e Traduções do Debian-BR
    `-                 O que você quer saber hoje?
 *******************************************************************
     Se você tiver notícias interessantes para serem publicadas,
     envie-nas para <[email protected]>.

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.3 (GNU/Linux)

iD8DBQFACA7r8BAgLKbTDQERAjRIAKCD4zkVPPQh6WyH3XpOtU8JgL+dVgCdHVr+
18uUD3ruHZ6GX6P+HtQI7c4=
=tHou
-----END PGP SIGNATURE-----