DSA-2179-1 dtc -- SQL-инъекция

Высокая (7.5)

(AV:N/AC:L/Au:N/C:P/I:P/A:P)

Debian

dtc-common (any) dtc-core (any) dtc-cyrus (any) dtc-postfix-courier (any) dtc-stats-daemon (any) dtc-toaster (any)

Ансгар Бурхарт (Ansgar Burchardt) обнаружит несколько уязвимостей в DTC, панели
управления (через веб-интерфейс) для администрирования и учёта сервисов хостинга.

CVE-2011-0434
bw_per_moth.php граф уязвим к SQL-инъекции.
CVE-2011-0435
Недостаточные проверки в bw_per_month.php могут привести к раскрытию
    информации об использовании пропускной способности.
CVE-2011-0436
После регистрации пароли отправляются в
    обычном текстовом виде.
CVE-2011-0437
Авторизованные пользователи могут удалять учётные записи, используя устаревший
    интерфейс, который был по ошибке включён в пакет.

Это обновление добавляет новый параметр настройки, который контролирует
наличие паролей в обычном текстовом виде в сообщениях электронной почты. По умолчанию,
пароли в обычном текстовом виде добавляться к сообщениям не будут.
Для предыдущего стабильного выпуска (lenny) эта проблема была исправлена в
версии 0.29.17-1+lenny1.
Стабильный (squeeze) и тестируемый
(wheezy) выпуски не содержат пакеты dtc.
Для нестабильного выпуска (sid) эта проблема была исправлена в
версии 0.32.10-1.
Мы рекомендуем обновить пакеты dtc.

Проблема может быть решена обновлением операционной системы до следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 5:
noarch:
dtc - 0.29.17-1+lenny1

http://www.debian.org/security/dsa-2179/

Источник: CVE
Наименование: CVE-2011-0436
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-0436

Источник: CVE
Наименование: CVE-2011-0437
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-0437

Источник: CVE
Наименование: CVE-2011-0434
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-0434

Источник: CVE
Наименование: CVE-2011-0435
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-0435