发布日期：2002-12-06
更新日期：2002-12-12

受影响系统：

Debian Internet Message 141.0
Debian Internet Message 133.0

描述：

---

BUGTRAQ  ID: 6307
CVE(CAN) ID: CVE-2002-1395

Debian Internet Message (IM)是Debian开发和维护的集成EMAIL，Netnews接口的系统。

Debian IM不正确建立临时文件，本地攻击者可以利用这个漏洞通过符号链接破坏用户数据或导致提升权限。

Debian IM包含的E-mail和NetNews所使用的接口命令和PERL库，在建立临时文件时不安全：

1、impwagent程序在/tmp目录下建立临时目录时使用可预测目录名，其他用户可以通过访问此临时目录，而获得用户敏感信息。

2、immknmz程序在/tmp目录下建立临时文件时使用可预测文件名，攻击者可以利用符号链接指向其他用户文件，导致文件破坏、信息泄露或者权限提升。

<*来源：Debian Advisory
  
  链接：http://www.debian.org/security/2002/dsa-202
*>

建议：

---

厂商补丁：

Debian
------
Debian已经为此发布了一个安全公告（DSA-202-2）以及相应补丁:
DSA-202-2：New IM packages correct hidden architecture dependency
链接：http://www.debian.org/security/2002/dsa-202

补丁下载：

Source archives:

http://security.debian.org/pool/updates/main/i/im/im_133-2.3.dsc
Size/MD5 checksum:      513 65dd0bbcb7d00d664368fcf9738ba615
http://security.debian.org/pool/updates/main/i/im/im_133-2.3.diff.gz
Size/MD5 checksum:     7521 954b2f8f55ae7f62683c240322348609
http://security.debian.org/pool/updates/main/i/im/im_133.orig.tar.gz
Size/MD5 checksum:   205055 df14f9a251a8d47fc045b6303090be47

Architecture independent components:

http://security.debian.org/pool/updates/main/i/im/im_133-2.3_all.deb
Size/MD5 checksum:   218056 85f7e256fa243204c4797bed622da192


Debian GNU/Linux 3.0 alias woody
- --------------------------------

Source archives:

http://security.debian.org/pool/updates/main/i/im/im_141-18.2.dsc
Size/MD5 checksum:      568 27c54961223aac6c3ad0e9ac8bec2210
http://security.debian.org/pool/updates/main/i/im/im_141-18.2.diff.gz
Size/MD5 checksum:    14706 03fcab14b6ceab8d3f586ded82fd7fe7
http://security.debian.org/pool/updates/main/i/im/im_141.orig.tar.gz
Size/MD5 checksum:   207576 9ecd2d6009048f1fecbc7b2e0e8cd489

Architecture independent components:

http://security.debian.org/pool/updates/main/i/im/im_141-18.2_all.deb
Size/MD5 checksum:   217680 af681b5b5d149adf134471b1dcb37ad7

补丁安装方法：

1. 手工安装补丁包：

  首先，使用下面的命令来下载补丁软件：
  # wget url  (url是补丁下载链接地址)

  然后，使用下面的命令来安装补丁：  
  # dpkg -i file.deb (file是相应的补丁名)

2. 使用apt-get自动安装补丁包：

   首先，使用下面的命令更新内部数据库：
   # apt-get update
  
   然后，使用下面的命令安装更新软件包：
   # apt-get upgrade

浏览次数：2533
严重程度：0（网友投票）