安全研究

安全漏洞
mailman远程跨站脚本执行漏洞

发布日期:2005-01-25
更新日期:2005-02-04

受影响系统:
MandrakeSoft Corporate Server 3.0
MandrakeSoft Corporate Server 2.1
MandrakeSoft Linux Mandrake 10.1
MandrakeSoft Linux Mandrake 10.0
描述:
BUGTRAQ  ID: 12243
CVE(CAN) ID: CVE-2004-1177

GNU Mailman是由Python开发的共享软件,利用它可以管理邮件列表。

GNU Mailman在返回错误页面时"scripts/driver"没有充分过滤输入,远程攻击者可以利用这个漏洞构建恶意链接,诱使用户访问,可获得目标用户的COOKIE等敏感信息。

目前没有详细漏洞细节提供。

<*来源:Mandrakelinux Security Update Advisory
  
  链接:http://marc.theaimsgroup.com/?l=bugtraq&m=110667060711229&w=2
        http://www.linux-mandrake.com/en/security/2005/2005-015.php
*>

建议:
厂商补丁:

MandrakeSoft
------------
MandrakeSoft已经为此发布了一个安全公告(MDKSA-2005:015)以及相应补丁:
MDKSA-2005:015:Updated mailman packages fix
链接:http://www.linux-mandrake.com/en/security/2005/2005-015.php

补丁下载:

Updated Packages:

Mandrakelinux 10.0:
ftp://download.sourceforge.net/pub/mirrors/mandrake/updates/10.0/RPMS/mailman-2.1.4-2.2.100mdk.i586.rpm
ftp://download.sourceforge.net/pub/mirrors/mandrake/updates/10.0/SRPMS/mailman-2.1.4-2.2.100mdk.src.rpm

Mandrakelinux 10.0/AMD64:
ftp://download.sourceforge.net/pub/mirrors/mandrake/updates/amd64/10.0/RPMS/mailman-2.1.4-2.2.100mdk.amd64.rpm
ftp://download.sourceforge.net/pub/mirrors/mandrake/updates/amd64/10.0/SRPMS/mailman-2.1.4-2.2.100mdk.src.rpm

Mandrakelinux 10.1:
ftp://download.sourceforge.net/pub/mirrors/mandrake/updates/10.1/RPMS/mailman-2.1.5-7.2.101mdk.i586.rpm
ftp://download.sourceforge.net/pub/mirrors/mandrake/updates/10.1/SRPMS/mailman-2.1.5-7.2.101mdk.src.rpm

Mandrakelinux 10.1/X86_64:
ftp://download.sourceforge.net/pub/mirrors/mandrake/updates/x86_64/10.1/RPMS/mailman-2.1.5-7.2.101mdk.x86_64.rpm
ftp://download.sourceforge.net/pub/mirrors/mandrake/updates/x86_64/10.1/SRPMS/mailman-2.1.5-7.2.101mdk.src.rpm

Corporate Server 2.1:
ftp://download.sourceforge.net/pub/mirrors/mandrake/updates/corporate/2.1/RPMS/mailman-2.0.14-1.2.C21mdk.i586.rpm
ftp://download.sourceforge.net/pub/mirrors/mandrake/updates/corporate/2.1/SRPMS/mailman-2.0.14-1.2.C21mdk.src.rpm

Corporate Server 2.1/x86_64:

上述升级软件还可以在下列地址中的任意一个镜像ftp服务器上下载:
http://www.mandrakesecure.net/en/ftp.php

浏览次数:2939
严重程度:0(网友投票)
本安全漏洞由绿盟科技翻译整理,版权所有,未经许可,不得转载
绿盟科技给您安全的保障