[security-announce] IA: new samba-2.x packages available

[ALT Security Team]

Digital Defense, Inc. уведомила Samba Team о нахождении серьёзной ошибке в
безопасности во всех стабильных версиях Samba.

Уязвимости присвоено имя CAN-2003-0201 в рамках проекта Common Vulnerabilities
and Exposures (CVE).

При правильном использовании этой уязвимости анонимный злоумышленник может
получить права суперпользователя в системе, обслуживаемой Samba. Все стабильные
версии Samba подвержены этой ошибке, включая последнюю стабильную версию 2.2.8.
Альфа-версии Samba 3.0 и выше не подвержены этой уязвимости.

Ошибка была обнаружена в результате наблюдения за рядом контрольных
серверов-ловушек Digital Defense, Inc., которые были подвергнуты успешной атаке
извне. Дальнейшее расследование и позволило обнаружить непосредственное
место в исходном коде Samba, приведшее к уязвимости. Таким образом,
предлагаемое исправление направлено на предупреждение атак, уже циркулирующих в
определённых кругах, и представляющим реальную угрозу кодом, поэтому Samba
Team была вынуждена выпустить внеплановую версию Samba 2.2.8a. Исправление
подготовлено Jerry (Gerald) Carter из Samba Team совместно с Digital
Defense, Inc.

Мы рекомендуем всем пользователям Samba 2.2 из дистрибутивов ALT Linux обновить
свои системы как можно быстрее, используя подготовленные ALT Security Team
пакеты с исправлениями:

Обновления для дистрибутивов ALT Linux доступны по следующим адресам:

+ Для дистрибутивов ALT Linux Master 2.0 и ALT Linux "Утёс-К":
ftp://updates.altlinux.com/Master/2.0/SRPMS/samba-2.2.8-alt0.2.src.rpm
ftp://updates.altlinux.com/Master/2.0/i586/RPMS/samba-2.2.8-alt0.2.i586.rpm
ftp://updates.altlinux.com/Master/2.0/i586/RPMS/samba-client-2.2.8-alt0.2.i586.rpm
ftp://updates.altlinux.com/Master/2.0/i586/RPMS/samba-client-cups-2.2.8-alt0.2.i586.rpm
ftp://updates.altlinux.com/Master/2.0/i586/RPMS/samba-client-devel-2.2.8-alt0.2.i586.rpm
ftp://updates.altlinux.com/Master/2.0/i586/RPMS/samba-client-devel-static-2.2.8-alt0.2.i586.rpm
ftp://updates.altlinux.com/Master/2.0/i586/RPMS/samba-common-2.2.8-alt0.2.i586.rpm
ftp://updates.altlinux.com/Master/2.0/i586/RPMS/samba-doc-2.2.8-alt0.2.i586.rpm
ftp://updates.altlinux.com/Master/2.0/i586/RPMS/samba-swat-2.2.8-alt0.2.i586.rpm
ftp://updates.altlinux.com/Master/2.0/i586/RPMS/samba-vfs-2.2.8-alt0.2.i586.rpm
ftp://updates.altlinux.com/Master/2.0/i586/RPMS/samba-vfs-devel-2.2.8-alt0.2.i586.rpm

+ Для дистрибутива ALT Linux Junior 2.0 и дистрибутивов, выпущенных на его
основе:
ftp://updates.altlinux.com/Junior/2.0/SRPMS/samba-2.2.8-alt0.2.src.rpm
ftp://updates.altlinux.com/Junior/2.0/i586/RPMS/samba-2.2.8-alt0.2.i586.rpm
ftp://updates.altlinux.com/Junior/2.0/i586/RPMS/samba-client-2.2.8-alt0.2.i586.rpm
ftp://updates.altlinux.com/Junior/2.0/i586/RPMS/samba-client-cups-2.2.8-alt0.2.i586.rpm
ftp://updates.altlinux.com/Junior/2.0/i586/RPMS/samba-common-2.2.8-alt0.2.i586.rpm
ftp://updates.altlinux.com/Junior/2.0/i586/RPMS/samba-vfs-2.2.8-alt0.2.i586.rpm
ftp://updates.altlinux.com/Junior/2.0/i586/RPMS/samba-vfs-devel-2.2.8-alt0.2.i586.rpm

+ Для дистрибутива ALT Linux Master 2.2:
ftp://updates.altlinux.com/Master/2.2/SRPMS.updates/samba-2.2.8-alt2.src.rpm
ftp://updates.altlinux.com/Master/2.2/i586/RPMS.updates/samba-2.2.8-alt2.i586.rpm
ftp://updates.altlinux.com/Master/2.2/i586/RPMS.updates/samba-client-2.2.8-alt2.i586.rpm
ftp://updates.altlinux.com/Master/2.2/i586/RPMS.updates/samba-client-cups-2.2.8-alt2.i586.rpm
ftp://updates.altlinux.com/Master/2.2/i586/RPMS.updates/samba-client-devel-2.2.8-alt2.i586.rpm
ftp://updates.altlinux.com/Master/2.2/i586/RPMS.updates/samba-client-devel-static-2.2.8-alt2.i586.rpm
ftp://updates.altlinux.com/Master/2.2/i586/RPMS.updates/samba-common-2.2.8-alt2.i586.rpm
ftp://updates.altlinux.com/Master/2.2/i586/RPMS.updates/samba-doc-2.2.8-alt2.i586.rpm
ftp://updates.altlinux.com/Master/2.2/i586/RPMS.updates/samba-swat-2.2.8-alt2.i586.rpm
ftp://updates.altlinux.com/Master/2.2/i586/RPMS.updates/samba-vfs-2.2.8-alt2.i586.rpm
ftp://updates.altlinux.com/Master/2.2/i586/RPMS.updates/samba-vfs-devel-2.2.8-alt2.i586.rpm

+ Для дистрибутива ALT Linux Junior 2.2:
ftp://updates.altlinux.com/Junior/2.2/SRPMS.updates/samba-2.2.8-alt2.src.rpm
ftp://updates.altlinux.com/Junior/2.2/i586/RPMS.updates/samba-2.2.8-alt2.i586.rpm
ftp://updates.altlinux.com/Junior/2.2/i586/RPMS.updates/samba-client-2.2.8-alt2.i586.rpm
ftp://updates.altlinux.com/Junior/2.2/i586/RPMS.updates/samba-client-cups-2.2.8-alt2.i586.rpm
ftp://updates.altlinux.com/Junior/2.2/i586/RPMS.updates/samba-client-devel-2.2.8-alt2.i586.rpm
ftp://updates.altlinux.com/Junior/2.2/i586/RPMS.updates/samba-common-2.2.8-alt2.i586.rpm
ftp://updates.altlinux.com/Junior/2.2/i586/RPMS.updates/samba-vfs-2.2.8-alt2.i586.rpm
ftp://updates.altlinux.com/Junior/2.2/i586/RPMS.updates/samba-vfs-devel-2.2.8-alt2.i586.rpm

+ Для пользователей репозитория ALT Linux Sisyphus обновления доступны обычным образом.

Обновление можно проводить с помощью apt-get, как по адресам,
приведённым выше, так и по адресам зеркал, приведённых по адресу
http://www.altlinux.ru/index.php?module=download

Samba Team приносит извинения всем своим пользователям за существование в коде
Samba серьёзной ошибки на протяжение последних 8 лет и благодарит компанию
Digital Defense, Inc. за установку серверов-ловушек и выполнение анализа
уязвимости. Мы также приносим извинения за вторую за последнее время серьёзную
ошибку в коде Samba 2.2, вынуждающую администраторов обновлять системы,
находящиеся в промышленной эксплуатации.

Пользователям версии Samba 2.0.10 рекомендуется переходить на новую версию
Samba 2.2.8a или, в крайнем случае, приложить исправление, доступное с
http://samba.org/samba/ftp/patches/security/

По поручению Samba Team, Александр Боковой.


--
ALT Security Team
----------- следующая часть -----------
Было удалено вложение не в текстовом формате...
Имя     : =?iso-8859-1?q?=CF=D4=D3=D5=D4=D3=D4=D7=D5=C5=D4?=
Тип     : application/pgp-signature
Размер  : 189 байтов
Описание: =?iso-8859-1?q?=CF=D4=D3=D5=D4=D3=D4=D7=D5=C5=D4?=
Url     : <http://lists.altlinux.org/pipermail/security-announce/attachments/20030407/0f898846/attachment-0003.bin>