DSA-209-1 wget -- переход по каталогам

Высокая (7.5)

(AV:N/AC:L/Au:N/C:P/I:P/A:P)

Debian

wget (any)

В пакете wget поставки Debian GNU/Linux обнаружены две проблемы:

Стефано Зачироли (Stefano Zacchiroli) обнаружил переполнение буфера
  в функции url_filename, что может вызвать ошибку сегментации при
  передаче в wget слишком длинных URL
Стивен М. Кристи (Steven M. Christey) обнаружил, что wget не проверяет
  ответ ftp-сервера на команду NLST: он не должен содержать какой-либо
  информации о каталогах, поскольку это может использоваться для
  перезаписи ftp-клиентом произвольных файлов.

Обе проблемы исправлены в версии 1.5.3-3.1 в Debian GNU/Linux
2.2/potato, и в версии 1.8.1-6.1 в Debian GNU/Linux 3.0/woody.

Проблема может быть решена обновлением операционной системы до следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 3.0:
ppc:
wget - 1.8.1-6.1
s390x:
wget - 1.8.1-6.1
m68k:
wget - 1.8.1-6.1
i686:
wget - 1.8.1-6.1
arm:
wget - 1.8.1-6.1
sparc:
wget - 1.8.1-6.1
alpha:
wget - 1.8.1-6.1
ia64:
wget - 1.8.1-6.1
mips:
wget - 1.8.1-6.1
hppa:
wget - 1.8.1-6.1
Debian GNU/Linux 2.2:
ppc:
wget - 1.5.3-3.1
m68k:
wget - 1.5.3-3.1
i686:
wget - 1.5.3-3.1
sparc:
wget - 1.5.3-3.1
alpha:
wget - 1.5.3-3.1
arm:
wget - 1.5.3-3.1

http://www.debian.org/security/dsa-209/

Источник: CVE
Наименование: CVE-2002-1565
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2002-1565

Источник: CVE
Наименование: CVE-2002-1344
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2002-1344