DSA-264-1 lxr -- не проверяются имена файлов

Средняя (5.0)

(AV:N/AC:L/Au:N/C:P/I:N/A:N)

Debian

lxr (any)

Разработчики lxr, основного инструмента управления перекрёстными
ссылками в гипертексте, были предупреждены об уязвимости, позволяющей
удалённому нападающему читать произвольные файлы на атакуемой
машине от имени пользователя www-data. Это может привести к утечке
информации из локальных файлов, не предназначенных для общего
использования.
В стабильном дистрибутиве (woody) эта проблема исправлена
в версии 0.3-3.
Старый стабильный дистрибутив (potato) не затронут этой проблемой,
поскольку не содержит пакета lxr.
В нестабильном дистрибутиве (sid) эта проблема исправлена
в версии 0.3-4.
Мы рекомендуем вам обновить пакет lxr.

Проблема может быть решена обновлением операционной системы до следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 3.0:
ppc:
lxr - 0.3-3
s390x:
lxr - 0.3-3
m68k:
lxr - 0.3-3
i686:
lxr - 0.3-3
hppa:
lxr - 0.3-3
sparc:
lxr - 0.3-3
alpha:
lxr - 0.3-3
ia64:
lxr - 0.3-3
mips:
lxr - 0.3-3
mipsel:
lxr - 0.3-3
arm:
lxr - 0.3-3

http://www.debian.org/security/dsa-264/

Источник: CVE
Наименование: CVE-2003-0156
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2003-0156