DSA-233-1 cvs -- дважды освобождаемая память

Высокая (7.5)

(AV:N/AC:L/Au:N/C:P/I:P/A:P)

Debian

cvs (any) cvs-doc (any)

Стефан Эссер (Stefan Esser) обнаружил проблему в cvs, системе управление параллельными версиями,
используемой во многих проектах Свободного ПО. В текущей версии есть изъян,
который может быть использован удалённым нападающим для выполнения
произвольного кода на сервере CVS с идентификатором пользователя, от имени
которого работает сервер CVS. Для использования этой проблемы достаточно
анонимного доступа только для чтения.
В стабильном дистрибутиве (woody) эта проблема исправлена
в версии 1.11.1p1debian-8.1.
В старом стабильном дистрибутиве (potato) эта проблема исправлена
в версии 1.10.7-9.2.
В нестабильном дистрибутиве (sid) эта проблема будет исправлена
в ближайшее время.
Мы рекомендуем вам немедленно обновить пакет cvs.

Проблема может быть решена обновлением операционной системы до следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 3.0:
ppc:
cvs - 1.11.1p1debian-8.1
s390x:
cvs - 1.11.1p1debian-8.1
m68k:
cvs - 1.11.1p1debian-8.1
i686:
cvs - 1.11.1p1debian-8.1
hppa:
cvs - 1.11.1p1debian-8.1
sparc:
cvs - 1.11.1p1debian-8.1
alpha:
cvs - 1.11.1p1debian-8.1
ia64:
cvs - 1.11.1p1debian-8.1
mips:
cvs - 1.11.1p1debian-8.1
mipsel:
cvs - 1.11.1p1debian-8.1
arm:
cvs - 1.11.1p1debian-8.1
Debian GNU/Linux 2.2:
ppc:
cvs - 1.10.7-9.2
m68k:
cvs - 1.10.7-9.2
noarch:
cvs-doc - 1.10.7-9.2
sparc:
cvs - 1.10.7-9.2
alpha:
cvs - 1.10.7-9.2
i686:
cvs - 1.10.7-9.2
arm:
cvs - 1.10.7-9.2

http://www.debian.org/security/dsa-233/

Источник: CVE
Наименование: CVE-2003-0015
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2003-0015