From tulliana at gmail.com Mon Sep 8 21:18:13 2008 From: tulliana at gmail.com (Serdar Soytetir) Date: Mon, 8 Sep 2008 21:18:13 +0300 Subject: [Pardus-guvenlik] [PLSA 2008-27] Mercurial: Veri bozma Message-ID: <200809082118.13110.tulliana@gmail.com> ------------------------------------------------------------------------ Pardus Linux G?venlik Bildirisi 2008-27 guvenlik at pardus.org.tr ------------------------------------------------------------------------ Tarih: 2008-09-05 ?nem: 1 T?r: Uzak ------------------------------------------------------------------------ ?zet ==== Mercurial i?erisinde k?t? niyetli insanlar?n belirli bir veriyi de?i?tirerek suistimal edebilece?ini bildiren bir g?venlik sorunu raporland? A??klama ======== G?venlik a???? mercurial/patch.py i?erisindeki "applydiff()" fonksiyonundaki bir hatadan kaynaklan?yor. Bu durum, depo d???nda bulunan dosyalar? keyfi olarak de?i?tirmek amac?yla dizinlerde ?apraz ge?i?ler yap?larak k?t?ye kullan?labilir. Etkilenen paketler: Pardus 2008: mercurial, 1.0.2-9-4 ?ncesi t?m s?r?mler Pardus 2007: mercurial, 1.0.2-8-8 ?ncesi t?m s?r?mler ??z?m ===== mercurial i?in g?ncelleme mevcut. Paket Y?neticisi'ni kullanarak, ya da konsolda tek komut ile g?ncelleme yapabilirsiniz: Pardus 2008: pisi up mercurial Pardus 2007: pisi up mercurial Referanslar =========== * http://nvd.nist.gov/nvd.cfm?cvename=CVE-2008-2942 * http://bugs.gentoo.org/show_bug.cgi?id=230193 ------------------------------------------------------------------------ Pardus G?venlik Tak?m? http://guvenlik.pardus.org.tr From tulliana at gmail.com Mon Sep 8 21:18:39 2008 From: tulliana at gmail.com (Serdar Soytetir) Date: Mon, 8 Sep 2008 21:18:39 +0300 Subject: [Pardus-guvenlik] =?utf-8?b?W1BMU0EgMjAwOC0yOF0gW0fDnE5DRUxMRU5N?= =?utf-8?b?xLDFnl0gTGlieG1sMjogU2VydmlzIGRldnJlIGTEscWfxLEgYsSxcmFrbWE=?= Message-ID: <200809082118.39121.tulliana@gmail.com> ------------------------------------------------------------------------ Pardus Linux G?venlik Bildirisi 2008-28 guvenlik at pardus.org.tr ------------------------------------------------------------------------ Tarih: 2008-09-05 ?nem: 3 T?r: Uzak ------------------------------------------------------------------------ ?zet ==== [G?ncelleme] libxml2 paketinin son g?venlik g?ncellemesi di?er paketlerde baz? sorunlara neden oldu, l?tfen libxml2 paketinizi g?ncelleyin. Libxml2 i?erisinde k?t? niyetli insanlar?n servisi devre d??? b?rakarak (DoS) suistimal edebilece?ini bildiren bir g?venlik sorunu raporland?. A??klama ======== The vulnerability is caused due to an recursion error when processing certain XML content. This can be exploited to e.g. exhaust all available memory and CPU resources by tricking an application using Libxml2 into processing specially crafted XML documents. G?venlik a????n?n sebebi belirli bir XML i?eri?i i?lenirken olu?an bir ?zyineleme hatas?d?r. Bu durum, ?zellikle XML belgelerini i?lemekte olan ve Libxml2 kullanan bir uygulama kand?r?larak, kullan?labilir durumdaki t?m bellek ve ??lemci kaynaklar?n?n bo?alt?lmas? ile k?t?ye kullan?labilir. Etkilenen paketler: Pardus 2008: libxml2, 2.6.32-10-6 ?ncesi t?m s?r?mler Pardus 2007: libxml2, 2.6.31-9-7 ?ncesi t?m s?r?mler ??z?m ===== libxml2 i?in g?ncelleme mevcut. Paket Y?neticisi'ni kullanarak, ya da konsolda tek komut ile g?ncelleme yapabilirsiniz: Pardus 2008: pisi up libxml2 Pardus 2007: pisi up libxml2 Referanslar =========== * http://bugs.pardus.org.tr/show_bug.cgi?id=8061 * http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-3281 * http://secunia.com/advisories/31558/ * https://rhn.redhat.com/errata/RHSA-2008-0836.html * http://mail.gnome.org/archives/xml/2008-August/msg00034.html ------------------------------------------------------------------------ Pardus G?venlik Tak?m? http://guvenlik.pardus.org.tr From tulliana at gmail.com Mon Sep 8 21:20:34 2008 From: tulliana at gmail.com (Serdar Soytetir) Date: Mon, 8 Sep 2008 21:20:34 +0300 Subject: [Pardus-guvenlik] =?utf-8?b?W1BMU0EgMjAwOC0yOV0gW0fDnE5DRUxMRU5N?= =?utf-8?b?xLDFnl0gVmxjOiDDh29rbHUgZ8O8dmVubGlrIGHDp8SxxJ/EsQ==?= Message-ID: <200809082120.34625.tulliana@gmail.com> ------------------------------------------------------------------------ Pardus Linux G?venlik Bildirisi 2008-29 guvenlik at pardus.org.tr ------------------------------------------------------------------------ Tarih: 2008-09-05 ?nem: 3 T?r: Uzak ------------------------------------------------------------------------ ?zet ==== [G?NCELLEME] Bu g?venlik a???? Pardus 2007 i?in de d?zeltildi. E?er Pardus 2007 kullan?yorsan?z l?tfen sisteminizi g?ncelleyin. g_ taraf?ndan, k?t? niyetli insanlar?n, kullan?c?lar?n sistemlerinden tavizler almak i?in k?t?ye kullanabilece?i birden fazla g?venlik a???? raporland?. A??klama ======== G?venlik a????n?n nedeni modules/demux/tta.c i?erisindeki "Open()" fonksiyonundaki integer ta?mas?d?r. Bu durum TTA verileri kullan?l?rken y???n temelli tampon ta?malar? kullan?larak k?t?ye kullan?labilir. Ba?ar?l? bir k?t?ye kullanma denemesi iste?e ba?l? kod ?al??t?rmaya izin verebilir. MMS Protokol? ??lemlerinde olu?an bir y???n ta?mas? uzaktan k?t?ye kullan?labilir. Etkilenen paketler: Pardus 2008: vlc, 0.8.6i-23-10 ?ncesi t?m s?r?mler vlc-firefox, 0.8.6i-23-10 ?ncesi t?m s?r?mler Pardus 2007: vlc, 0.8.6h-19-20 ?ncesi t?m s?r?mler vlc-firefox, 0.8.6h-19-12 ?ncesi t?m s?r?mler ??z?m ===== vlc, vlc-firefox i?in g?ncelleme mevcut. Paket Y?neticisi'ni kullanarak, ya da konsolda tek komut ile g?ncelleme yapabilirsiniz: Pardus 2008: pisi up vlc vlc-firefox Pardus 2007: pisi up vlc vlc-firefox Referanslar =========== * http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-3732 * http://www.orange-bat.com/adv/2008/adv.08.16.txt * http://www.orange-bat.com/adv/2008/adv.08.24.txt * http://mailman.videolan.org/pipermail/vlc-devel/2008-August/048308.html * http://mailman.videolan.org/pipermail/vlc-devel/2008-August/048504.html ------------------------------------------------------------------------ Pardus G?venlik Tak?m? http://guvenlik.pardus.org.tr From tulliana at gmail.com Mon Sep 8 21:21:41 2008 From: tulliana at gmail.com (Serdar Soytetir) Date: Mon, 8 Sep 2008 21:21:41 +0300 Subject: [Pardus-guvenlik] =?utf-8?b?W1BMU0EgMjAwOC0zMF0gVmltOiDEsHN0ZcSf?= =?utf-8?b?ZSBiYcSfbMSxIGtvZCDDp2FsxLHFn3TEsXJtYQ==?= Message-ID: <200809082121.41721.tulliana@gmail.com> ------------------------------------------------------------------------ Pardus Linux G?venlik Bildirisi 2008-30 guvenlik at pardus.org.tr ------------------------------------------------------------------------ Tarih: 2008-09-05 ?nem: 3 T?r: Yerel ------------------------------------------------------------------------ ?zet ==== Anahtar s?zc?k ya da etiket (tag) aramalar?nda olu?an yetersiz temizleme (sanitization), Vim uygulamas?n?n iste?e ba?l? komut ?al??t?rmas?na yol a?abilir. A??klama ======== (Bu g?venlik a???? Ben Schmidt taraf?ndan bulundu) Etkilenen paketler: Pardus 2008: vim, 7.2.002-44-11 ?ncesi t?m s?r?mler ??z?m ===== vim i?in g?ncelleme mevcut. Paket Y?neticisi'ni kullanarak, ya da konsolda tek komut ile g?ncelleme yapabilirsiniz: pisi up vim Referanslar =========== * http://www.rdancer.org/vulnerablevim-K.html * http://groups.google.com/group/vim_dev/browse_thread/thread/1434d0812b5c817e/6ad2d5b50a96668e ------------------------------------------------------------------------ Pardus G?venlik Tak?m? http://guvenlik.pardus.org.tr From tulliana at gmail.com Mon Sep 8 21:22:59 2008 From: tulliana at gmail.com (Serdar Soytetir) Date: Mon, 8 Sep 2008 21:22:59 +0300 Subject: [Pardus-guvenlik] =?utf-8?q?=5BPLSA_2008-31=5D_Tiff=3A_Servis_dev?= =?utf-8?b?cmUgZMSxxZ/EsSBixLFyYWttYQ==?= Message-ID: <200809082122.59817.tulliana@gmail.com> ------------------------------------------------------------------------ Pardus Linux G?venlik Bildirisi 2008-31 guvenlik at pardus.org.tr ------------------------------------------------------------------------ Tarih: 2008-09-05 ?nem: 3 T?r: Yerel ------------------------------------------------------------------------ ?zet ==== LibTIFF i?erisinde k?t? niyetli insanlar?n servisi devre d??? b?rakarak (DoS) kullan?c?n?n sistemini ele ge?irebilmelerine neden olabilecek bir g?venlik a???? raporland?. A??klama ======== G?venlik a????n?n nedeni libtiff/tif_lzw.c i?erisindeki "LZWDecode()" ve "LZWDecodeCompat()" fonksiyonlar?ndaki hatalard?r. Bu hatalar ?zellikle TIFF dosyalar?nda bir tampon seviyesi d???r?lerek (buffer underflow) k?t?ye kullan?labilir. Etkilenen paketler: Pardus 2008: tiff, 3.8.2-9-3 ?ncesi t?m s?r?mler Pardus 2007: tiff, 3.8.2-8-7 ?ncesi t?m s?r?mler ??z?m ===== tiff i?in g?ncelleme mevcut. Paket Y?neticisi'ni kullanarak, ya da konsolda tek komut ile g?ncelleme yapabilirsiniz: Pardus 2008: pisi up tiff Pardus 2007: pisi up tiff Referanslar =========== * http://bugs.pardus.org.tr/show_bug.cgi?id=8050 * http://security-tracker.debian.net/tracker/CVE-2008-2327 * http://secunia.com/advisories/31610 * http://nvd.nist.gov/nvd.cfm?cvename=CVE-2008-2327 ------------------------------------------------------------------------ Pardus G?venlik Tak?m? http://guvenlik.pardus.org.tr From tulliana at gmail.com Mon Sep 8 21:23:59 2008 From: tulliana at gmail.com (Serdar Soytetir) Date: Mon, 8 Sep 2008 21:23:59 +0300 Subject: [Pardus-guvenlik] =?utf-8?b?W1BMU0EgMjAwOC0zMl0gW0fDnE5DRUxMRU5N?= =?utf-8?b?xLDFnl0gTW9ubzogWFNTICggw4dhcHJheiBTaXRlIEJldGlrbGVtZSk=?= Message-ID: <200809082123.59900.tulliana@gmail.com> ------------------------------------------------------------------------ Pardus Linux G?venlik Bildirisi 2008-32 guvenlik at pardus.org.tr ------------------------------------------------------------------------ Tarih: 2008-09-05 ?nem: 2 T?r: Uzak ------------------------------------------------------------------------ ?zet ==== [G?NCELLEME] Bu g?venlik a???? Pardus 2007 i?in de d?zeltildi. E?er Pardus 2007 kullan?yorsan?z l?tfen sisteminizi g?ncelleyin. Juraj Skripsky Mono i?erisinde k?t? niyetli insanlar taraf?ndan HTTP ba?l?k kod enjeksiyonu ataklar? yapabilmek amac?yla k?t?ye kullan?labilecek bir g?venlik a???? raporlad?. A??klama ======== The vulnerability is caused due to the Sys.Web module not properly sanitising certain parameters before using them in HTTP responses. This can be exploited to inject arbitrary HTML and script code, which is executed in a user's browser session in context of an affected site. Bu g?venlik a???? Sys.Web mod?l?n?n?n HTTP yan?tlar?nda belirli parametreleri kullanmadan ?nce tam olarak temizlememesinden kaynaklan?yor. Bu durum, hedef site i?in d???n?ld???nde, kullan?c?n?n web taray?c? oturumu i?erisinde keyfi HTML ve betik kodlar?n?n enjeksiyonu ile k?t?ye kullan?labilir. Etkilenen paketler: Pardus 2008: mono, 1.2.6-17-2 ?ncesi t?m s?r?mler Pardus 2007: mono, 1.2.4-16-13 ?ncesi t?m s?r?mler ??z?m ===== mono i?in g?ncelleme mevcut. Paket Y?neticisi'ni kullanarak, ya da konsolda tek komut ile g?ncelleme yapabilirsiniz: Pardus 2008: pisi up mono Pardus 2007: pisi up mono Referanslar =========== * http://bugs.pardus.org.tr/show_bug.cgi?id=8069 * https://bugzilla.novell.com/show_bug.cgi?id=418620 * http://secunia.com/advisories/31643/ ------------------------------------------------------------------------ Pardus G?venlik Tak?m? http://guvenlik.pardus.org.tr From tulliana at gmail.com Mon Sep 8 21:24:48 2008 From: tulliana at gmail.com (Serdar Soytetir) Date: Mon, 8 Sep 2008 21:24:48 +0300 Subject: [Pardus-guvenlik] =?utf-8?b?W1BMU0EgMjAwOC0zM10gW0fDnE5DRUxMRU5N?= =?utf-8?b?xLDFnl0gT3BlbnNjOiBHw7x2ZW5saWsgRGV2cmUgRMSxxZ/EsSBCxLFyYWtt?= =?utf-8?q?a?= Message-ID: <200809082124.48306.tulliana@gmail.com> ------------------------------------------------------------------------ Pardus Linux G?venlik Bildirisi 2008-33 guvenlik at pardus.org.tr ------------------------------------------------------------------------ Tarih: 2008-09-05 ?nem: 2 T?r: Uzak ------------------------------------------------------------------------ ?zet ==== [G?NCELLEME]: OpenSC 0.11.5 g?venlik g?ncellemesinde kesinlik denetiminde k???k bir hassasiyet vard?. Bu g?ncelleme bu sorunu ??z?yor. OpenSC i?erisinde k?t? niyetli insanlar taraf?ndan belirli g?venlik k?s?tlamalar?n? devre d??? b?rakmak amac?yla k?t?ye kullan?labilecek bir g?venlik a???? raporland?. A??klama ======== Bu g?venlik a????n?n nedeni uygulaman?n ADMIN dosya kontrol bilgilerini Siemens CardOS M4 i?letim sistemi olan ak?ll? kartlar? ba?lat?rken "00"'a d?zg?n ayarlayamamas?d?r. Bu durum, ak?ll? kart OpenSC ile ba?lat?ld???nda PIN ya da PUK kodu olmadan bir kullan?c?n?n PIN kodu de?i?tirilerek k?t?ye kullan?labilir. Etkilenen paketler: Pardus 2008: opensc, 0.11.6-7-2 ?ncesi t?m s?r?mler ??z?m ===== opensc i?in g?ncelleme mevcut. Paket Y?neticisi'ni kullanarak, ya da konsolda tek komut ile g?ncelleme yapabilirsiniz: pisi up opensc Referanslar =========== * http://bugs.pardus.org.tr/show_bug.cgi?id=8066 * http://permalink.gmane.org/gmane.comp.security.oss.general/863 * http://www.opensc-project.org/pipermail/opensc-announce/2008- July/000020.html * http://nvd.nist.gov/nvd.cfm?cvename=CVE-2008-2235 * http://secunia.com/advisories/31330 ------------------------------------------------------------------------ Pardus G?venlik Tak?m? http://guvenlik.pardus.org.tr From tulliana at gmail.com Mon Sep 8 21:25:57 2008 From: tulliana at gmail.com (Serdar Soytetir) Date: Mon, 8 Sep 2008 21:25:57 +0300 Subject: [Pardus-guvenlik] =?utf-8?q?=5BPLSA_2008-34=5D_GNU_ed=3A_Y=C4=B1?= =?utf-8?b?xJ/EsW4gdGHFn21hc8Sx?= Message-ID: <200809082125.57293.tulliana@gmail.com> ------------------------------------------------------------------------ Pardus Linux G?venlik Bildirisi 2008-34 guvenlik at pardus.org.tr ------------------------------------------------------------------------ Tarih: 2008-09-05 ?nem: 2 T?r: Uzak ------------------------------------------------------------------------ ?zet ==== GNU ed i?erisinde bir g?venlik a???? raporland?. Bir uzak kullan?c? hedef kullan?c?n?n sisteminde feyfi kod ?al??t?rabilir. A??klama ======== Bir uzak kullan?c?, hedef kullan?c?n?n siteminde, bu kullan?c? taraf?ndan i?lem yap?ld???nda tetiklenebilecek ve y???n ta?mas? ile keyfi kod ?al??t?rmaya neden olabilecek bir dosya olu?turabilir. Bu kodlar hedef kullan?c?n?n haklar?yla ?al??t?r?labilir. G?venlik a???? signal.c i?erisindeki strip_escapes() fonksiyonundad?r. Not: Bu g?venlik a???? Core Security Technologies'den Alfredo Ortega taraf?ndan bulunmu?tur. Etkilenen paketler: Pardus 2008: ed, 1.0-9-2 ?ncesi t?m s?r?mler Pardus 2007: ed, 1.0-7-8 ?ncesi t?m s?r?mler ??z?m ===== ed i?in g?ncelleme mevcut. Paket Y?neticisi'ni kullanarak, ya da konsolda tek komut ile g?ncelleme yapabilirsiniz: Pardus 2008: pisi up ed Pardus 2007: pisi up ed Referanslar =========== * http://bugs.pardus.org.tr/show_bug.cgi?id=8092 * http://www.securitytracker.com/alerts/2008/Aug/1020734.html * http://lists.gnu.org/archive/html/bug-ed/2008-06/msg00000.html ------------------------------------------------------------------------ Pardus G?venlik Tak?m? http://guvenlik.pardus.org.tr From tulliana at gmail.com Mon Sep 8 21:26:52 2008 From: tulliana at gmail.com (Serdar Soytetir) Date: Mon, 8 Sep 2008 21:26:52 +0300 Subject: [Pardus-guvenlik] =?utf-8?q?=5BPLSA_2008-35=5D_Ruby=3A_Servis_dev?= =?utf-8?b?cmUgZMSxxZ/EsSBixLFyYWttYQ==?= Message-ID: <200809082126.52611.tulliana@gmail.com> ------------------------------------------------------------------------ Pardus Linux G?venlik Bildirisi 2008-35 guvenlik at pardus.org.tr ------------------------------------------------------------------------ Tarih: 2008-09-05 ?nem: 3 T?r: Uzak ------------------------------------------------------------------------ ?zet ==== Ruby i?erisinde k?t? niyetli insanlar taraf?ndan servisi devre d??? b?rakarak (DoS) k?t?ye kullan?labilecek bir g?venlik a???? raporland?. A??klama ======== G?venlik a????n?n nedeni REXML kitapl???nda bulunan ve yerle?ik XML varl?klar? i?lenirken olu?an bir hatad?r. Bu durum ?zellikle XML belgelerinde servis devre d??? b?rakmalara (DoS) neden oldu?undan k?t?ye kullan?labilir. Not: Bu g?venlik a???? ACROS Security'den Luka Treiber and Mitja Kolsek taraf?ndan bulunmu?tur. Etkilenen paketler: Pardus 2008: ruby, 1.8.7_p72-17-5 ?ncesi t?m s?r?mler ruby-mode, 1.8.7_p72-17-5 ?ncesi t?m s?r?mler Pardus 2007: ruby, 1.8.7_p72-17-14 ?ncesi t?m s?r?mler ruby-mode, 1.8.7_p72-17-5 ?ncesi t?m s?r?mler ??z?m ===== ruby, ruby-mode i?in g?ncelleme mevcut. Paket Y?neticisi'ni kullanarak, ya da konsolda tek komut ile g?ncelleme yapabilirsiniz: Pardus 2008: pisi up ruby ruby-mode Pardus 2007: pisi up ruby ruby-mode Referanslar =========== * http://security.pardus.org.tr/en/2008-35 * http://bugs.pardus.org.tr/show_bug.cgi?id=8044 * http://www.ruby-lang.org/en/news/2008/08/23/dos-vulnerability-in-rexml/ * http://nvd.nist.gov/nvd.cfm?cvename=CVE-2008-3790 * http://secunia.com/advisories/31602 ------------------------------------------------------------------------ Pardus G?venlik Tak?m? http://guvenlik.pardus.org.tr From tulliana at gmail.com Mon Sep 8 21:28:01 2008 From: tulliana at gmail.com (Serdar Soytetir) Date: Mon, 8 Sep 2008 21:28:01 +0300 Subject: [Pardus-guvenlik] =?utf-8?b?W1BMU0EgMjAwOC0zNl0gRmZtcGVnOiDDh29r?= =?utf-8?b?bHUgZ8O8dmVubGlrIGHDp8SxxJ/EsQ==?= Message-ID: <200809082128.01682.tulliana@gmail.com> ------------------------------------------------------------------------ Pardus Linux G?venlik Bildirisi 2008-36 guvenlik at pardus.org.tr ------------------------------------------------------------------------ Tarih: 2008-09-05 ?nem: 2 T?r: Uzak ------------------------------------------------------------------------ ?zet ==== Ffmpeg i?erisinde birden ?ok g?venlik a???? belirlendi. L?tfen paketlerinizi son s?r?me g?ncelleyin. A??klama ======== * avcodec_close() avctx->rc_eq. Bir bellek ka?a?? d?zeltildi. * libavcodec/dca.c. i?erisinde tampon ta?mas? (yama Alexander E. Patrakov taraf?ndan olu?turuldu) * Gecikme MAX_REORDER_DELAY oldu?unda dts olu?turulma kodunun ?al??t?r?lmas?n? engelle, bu AVStream->pts_buffer i?erindeki bellek ta?mas?n? d?zeltiyor. (libavformat/utils.c() i?erisindeki) * Tcp/udp bellek ka?a?? Etkilenen paketler: Pardus 2008: mplayer, 0.0_20080825-92-11 ?ncesi t?m s?r?mler ffmpeg, 0.4.9_20080825-46-14 ?ncesi t?m s?r?mler ??z?m ===== mplayer, ffmpeg i?in g?ncelleme mevcut. Paket Y?neticisi'ni kullanarak, ya da konsolda tek komut ile g?ncelleme yapabilirsiniz: pisi up mplayer ffmpeg Referanslar =========== * http://lists.mplayerhq.hu/pipermail/ffmpeg-cvslog/2008-August/016011.html * http://lists.mplayerhq.hu/pipermail/ffmpeg-cvslog/2008-August/016012.html * http://lists.mplayerhq.hu/pipermail/ffmpeg-cvslog/2008-August/016352.html * http://lists.mplayerhq.hu/pipermail/ffmpeg-cvslog/2008-August/016136.html ------------------------------------------------------------------------ Pardus G?venlik Tak?m? http://guvenlik.pardus.org.tr From tulliana at gmail.com Mon Sep 8 21:28:48 2008 From: tulliana at gmail.com (Serdar Soytetir) Date: Mon, 8 Sep 2008 21:28:48 +0300 Subject: [Pardus-guvenlik] =?utf-8?q?=5BPLSA_2008-37=5D_Django=3A_XSS_=28_?= =?utf-8?q?=C3=87apraz_Site_Betikleme=29?= Message-ID: <200809082128.48531.tulliana@gmail.com> ------------------------------------------------------------------------ Pardus Linux G?venlik Bildirisi 2008-37 guvenlik at pardus.org.tr ------------------------------------------------------------------------ Tarih: 2008-09-08 ?nem: 3 T?r: Uzak ------------------------------------------------------------------------ ?zet ==== Django i?erisinde k?t? niyetli insanlar taraf?ndan ?apraz site sahte istekleriyle yap?lacak sald?r?larla k?t?ye kullan?labilecek bir g?venlik a???? raporland?. A??klama ======== G?venlik a????n?n sebebi Django y?netim uygulamas?n?n kullan?c? kimli?ini yeniden do?rulama s?ras?nda herhangi bir ge?erlilik denetimi yapmamas?d?r. Bu durum, giri? yapmam?? bir kullan?c? k?t? niyetli bir siteyi ziyaret etti?inde ve uygulamaya girmesi i?in kand?r?ld???nda verilerin silinmesi ve de?i?tirilmesi i?in k?t?ye kullan?labilir. Etkilenen paketler: Pardus 2008: Django, 1.0-15-2 ?ncesi t?m s?r?mler Pardus 2007: Django, 0.96.3-15-11 ?ncesi t?m s?r?mler ??z?m ===== Django i?in g?ncelleme mevcut. Paket Y?neticisi'ni kullanarak, ya da konsolda tek komut ile g?ncelleme yapabilirsiniz: Pardus 2008: pisi up Django Pardus 2007: pisi up Django Referanslar =========== * http://bugs.pardus.org.tr/show_bug.cgi?id=8116 * http://www.djangoproject.com/weblog/2008/sep/02/security * http://secunia.com/advisories/31729 ------------------------------------------------------------------------ Pardus G?venlik Tak?m? http://guvenlik.pardus.org.tr From tulliana at gmail.com Mon Sep 8 21:29:28 2008 From: tulliana at gmail.com (Serdar Soytetir) Date: Mon, 8 Sep 2008 21:29:28 +0300 Subject: [Pardus-guvenlik] =?utf-8?q?=5BPLSA_2008-38=5D_Wireshark=3A_Servi?= =?utf-8?b?cyBEZXZyZSBExLHFn8SxIELEsXJha21h?= Message-ID: <200809082129.28059.tulliana@gmail.com> ------------------------------------------------------------------------ Pardus Linux G?venlik Bildirisi 2008-38 guvenlik at pardus.org.tr ------------------------------------------------------------------------ Tarih: 2008-09-08 ?nem: 3 T?r: Remote ------------------------------------------------------------------------ ?zet ==== Wireshark, i?erisinde k?t? niyetli insanlar taraf?ndan servisi devre d??? b?rakmak (DoS) amac?yla k?t?ye kullan?labilecek g?venlik a??klar? raporland?. A??klama ======== 1) epan/dissectors/packet-ncp2222.inc i?erisindeki ?e?itli hatalar ?zellikle NCP paketleri ?zerinden sonsuz d?ng? olu?turularak ya da ??kmeye neden olunarak k?t?ye kullan?labilir. 2) zlib taraf?ndan s?k??t?r?lm?? paket verileri a??l?rken olu?an bir hata, bu paketler ?zerinden k?t?ye kullan?labilir. Etkilenen paketler: Pardus 2008: wireshark, 1.0.3-22-4 ?ncesi t?m s?r?mler Pardus 2007: wireshark, 1.0.3-22-18 ?ncesi t?m s?r?mler ??z?m ===== wireshark i?in g?ncelleme mevcut. Paket Y?neticisi'ni kullanarak, ya da konsolda tek komut ile g?ncelleme yapabilirsiniz: Pardus 2008: pisi up wireshark Pardus 2007: pisi up wireshark Referanslar =========== * http://bugs.pardus.org.tr/show_bug.cgi?id=8119 * http://www.wireshark.org/security/wnpa-sec-2008-05.html * http://secunia.com/advisories/31674 ------------------------------------------------------------------------ Pardus G?venlik Tak?m? http://guvenlik.pardus.org.tr From tulliana at gmail.com Mon Sep 8 21:30:17 2008 From: tulliana at gmail.com (Serdar Soytetir) Date: Mon, 8 Sep 2008 21:30:17 +0300 Subject: [Pardus-guvenlik] =?utf-8?b?W1BMU0EgMjAwOC0zOV0gQ2xhbWF2OiDDh29r?= =?utf-8?b?bHUgZ8O8dmVubGlrIGHDp8SxxJ/EsQ==?= Message-ID: <200809082130.17236.tulliana@gmail.com> ------------------------------------------------------------------------ Pardus Linux G?venlik Bildirisi 2008-39 guvenlik at pardus.org.tr ------------------------------------------------------------------------ Tarih: 2008-09-08 ?nem: 3 T?r: Uzak ------------------------------------------------------------------------ ?zet ==== Clamav i?erisinde servis devre d??? b?rakma (DoS) ve bellek ka?aklar?n? da i?eren birden ?ok g?venlik a???? raporland?. A??klama ======== Birinci g?venlik a????n?n nedeni bozuk CHM dosyalar? i?lenirken olu?an libclamav/chmunpack.c i?erisindeki bir hatad?r. Bu durum ?zellikle CHM dosyalar?nda ge?ersiz bellek eri?imine denen oldu?undan k?t?ye kullan?labilir. Di?erleri: * Out-of-memory null dereference (bb#1141) CVE-2008-3912 * Ge?ersiz bellek eri?imi olas?l??? (bb#1089) CVE-2008-1389 * Hata yolu bellek ka?aklar? CVE-2008-3913 * Fd ka?aklar? (bb#1141) CVE-2008-3914 Etkilenen paketler: Pardus 2008: clamav, 0.93.3-28-2 ?ncesi t?m s?r?mler Pardus 2007: clamav, 0.93.3-30-29 ?ncesi t?m s?r?mler ??z?m ===== clamav i?in g?ncelleme mevcut. Paket Y?neticisi'ni kullanarak, ya da konsolda tek komut ile g?ncelleme yapabilirsiniz: Pardus 2008: pisi up clamav Pardus 2007: pisi up clamav Referanslar =========== * http://bugs.pardus.org.tr/show_bug.cgi?id=8110 * http://int21.de/cve/CVE-2008-1389-clamav-chd.html * http://secunia.com/advisories/31725 ------------------------------------------------------------------------ Pardus G?venlik Tak?m? http://guvenlik.pardus.org.tr From tulliana at gmail.com Mon Sep 8 21:31:01 2008 From: tulliana at gmail.com (Serdar Soytetir) Date: Mon, 8 Sep 2008 21:31:01 +0300 Subject: [Pardus-guvenlik] =?utf-8?q?=5BPLSA_2008-40=5D_Postfix=3A_Servis_?= =?utf-8?b?RGV2cmUgRMSxxZ/EsSBCxLFyYWttYQ==?= Message-ID: <200809082131.01242.tulliana@gmail.com> ------------------------------------------------------------------------ Pardus Linux G?venlik Bildirisi 2008-40 guvenlik at pardus.org.tr ------------------------------------------------------------------------ Tarih: 2008-09-08 ?nem: 1 T?r: Yerel ------------------------------------------------------------------------ ?zet ==== Postfix i?erisinde yerel k?t? niyetli kullan?c?lar taraf?ndan servis devre d??? b?rakma (Dos) amac?yla k?t?ye kullan?labilecek bir g?venlik a???? raporland?. A??klama ======== Bu g?venlik a????n?n nedeni Postfix'in Postfix'e ait olmayan komutlar ?al??t?r?l?rken epoll dosya tan?mlay?c?s?n? s?zd?rmas? ve bu durumun DoS ataklar? i?in kullan?labilmesidir. Bu g?venlik a???? sadece Postfix 2.4 ve epoll ile birle?ik olan daha sonraki s?r?mlerini etkilemektedir. (Linux 2.6 gibi). Etkilenen paketler: Pardus 2008: postfix, 2.5.4-21-5 ?ncesi t?m s?r?mler ??z?m ===== postfix i?in g?ncelleme mevcut. Paket Y?neticisi'ni kullanarak, ya da konsolda tek komut ile g?ncelleme yapabilirsiniz: pisi up postfix Referanslar =========== * http://bugs.pardus.org.tr/show_bug.cgi?id=8114 * http://www.postfix.org/announcements/20080902.html * http://secunia.com/advisories/31716/ ------------------------------------------------------------------------ Pardus G?venlik Tak?m? http://guvenlik.pardus.org.tr From tulliana at gmail.com Mon Sep 8 21:31:46 2008 From: tulliana at gmail.com (Serdar Soytetir) Date: Mon, 8 Sep 2008 21:31:46 +0300 Subject: [Pardus-guvenlik] =?utf-8?q?=5BPLSA_2008-41=5D_Emacs=3A_K=C3=B6t?= =?utf-8?b?w7wgbml5ZXRsaSBrb2Qgw6dhbMSxxZ90xLFybWE=?= Message-ID: <200809082131.46093.tulliana@gmail.com> ------------------------------------------------------------------------ Pardus Linux G?venlik Bildirisi 2008-41 guvenlik at pardus.org.tr ------------------------------------------------------------------------ Tarih: 2008-09-08 ?nem: 2 T?r: Uzak ------------------------------------------------------------------------ ?zet ==== Romain Francoise, GNU Emacs'?n Python ile etkile?im bi?iminde bir g?venlik riski buldu. A??klama ======== Bu g?venlik a????, e?er kullan?c? herkes taraf?ndan yaz?labilir bir dizinde `run-python' Emacs komutunu ?al??t?r?rsa ya da `eldoc-mode' kipini de?i?tirip herkes taraf?ndan yaz?labilir bir dizinde bir Python kaynak dosyas?n? a?arsa sald?rgan?n k?t? niyetli kod ?al??t?rmas?na izin veriyor. Etkilenen paketler: Pardus 2008: emacs, 23.0.60_20080624-22-6 ?ncesi t?m s?r?mler Pardus 2007: emacs, 22.1-17-17 ?ncesi t?m s?r?mler ??z?m ===== emacs i?in g?ncelleme mevcut. Paket Y?neticisi'ni kullanarak, ya da konsolda tek komut ile g?ncelleme yapabilirsiniz: Pardus 2008: pisi up emacs Pardus 2007: pisi up emacs Referanslar =========== * http://bugs.pardus.org.tr/show_bug.cgi?id=8128 * http://lists.gnu.org/archive/html/emacs-devel/2008-09/msg00215.html * http://www.opensubscriber.com/message/emacs-diffs at gnu.org/9983157.html ------------------------------------------------------------------------ Pardus G?venlik Tak?m? http://guvenlik.pardus.org.tr