NEOHAPSIS - Peace of Mind Through Integrity and Insight

Neohapsis is currently accepting applications for employment. For more information, please visit our website www.neohapsis.com or email hr@neohapsis.com

Neohapsis > Archives > Conectiva Linux> 2002-q3

secure_at_conectiva.com.br
Date: Thu Aug 29 2002 - 13:56:29 CDT

Messages sorted by: [ date ] [ thread ] [ subject ] [ author ]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

- -------------------------------------------------------------------------
ANÚNCIO DE ATUALIZAÇÃO DO CONECTIVA LINUX
- -------------------------------------------------------------------------

PACOTE : kde
RESUMO : Vulnerabilidade na checagem de certificados X.509 e outras correções
DATA : 2002-08-29 15:53:00
ANÚNCIO : CLA-2002:519
EDIÇÕES : 8
- -------------------------------------------------------------------------

DESCRIÇÃO DO PROBLEMA
KDE[3] é um dos ambientes gráficos mais completos disponíveis para
GNU/Linux e outros sistemas.

Esta é uma atualização do ambiente KDE completo para a versão 3.0.3,
a versão mais recente disponibilizada pelo projeto[1]. Além de conter
várias correções e melhorias, esta atualização também corrige duas
vulnerabilidades de segurança:

- SSL[2]: versões anteriores da implementação SSL usada no KDE não
checavam corretamente certificados X.509 e aceitavam, sem qualquer
tipo de alerta, certificados assinados por qualquer entidade desde
que essa entidade fosse assinada por uma Autoridade Certificadora
reconhecida. Isto permitia que ataques do tipo MITM ("man in the
mittle") pudessem ser executados sem serem detectados pelo usuário, o
que acarretaria no comprometimento de sessões criptografadas HTTPS.

- artswrapper: em versões anteriores, este programa era SUID root.
Com esta configuração, um atacante local poderia obter um shell com
privilégios de execução de tempo real, o que faria com que processos
executados pelo atacante tivessem mais prioridade, mas sempre com as
mesmas permissões do atacante.

Detalhes de todas as correções e melhorias presentes nesta nova
versão do ambiente KDE podem ser encontradas no arquivo de
mudanças[4] do projeto.

A biblioteca Qt também está sendo atualizada para a última versão
disponível no momento, a 3.0.5.

SOLUÇÃO
É recomendado que todos os usuários do KDE façam a atualização.

REFERÊNCIAS
1.http://www.kde.org/announcements/announce-3.0.3.html
2.http://www.kde.org/info/security/advisory-20020818-1.txt
3.http://www.kde.org/
4.http://www.kde.org/announcements/changelogs/changelog3_0_2to3_0_3.html

INSTRUÇÕES ADICIONAIS
Usuários do Conectiva Linux 6.0 ou superior podem usar apt para fazer
atualizações de pacotes RPM:
- se a linha abaixo ainda não existir no arquivo /etc/apt/sources.list,
acrescente-a:

rpm [cncbr] ftp://atualizacoes.conectiva.com.br versão/conectiva updates

(substitua "versão" pela sua versão. Por exemplo, "7.0")

- execute: apt-get update
- seguido por: apt-get upgrade

Instruções detalhadas de uso do apt e exemplos práticos encontram-se em
http://distro.conectiva.com.br/atualizacoes/#apt

- -------------------------------------------------------------------------
Todos os pacotes listados aqui também são assinados com a chave GPG da
Conectiva. A chave, bem como instruções de como importá-la, pode ser
encontrada em http://distro.conectiva.com.br/seguranca/chave/.
Instruções para checar a assinatura dos pacotes podem ser encontradas em
http://distro.conectiva.com.br/seguranca/politica/.

- -------------------------------------------------------------------------
Todos os anúncios de atualizações são armazenados e podem ser consultados
na página http://distro.conectiva.com.br/atualizacoes/.
Instruções genéricas para atualizações são fornecidas na mesma página.

- -------------------------------------------------------------------------
A Conectiva possui uma lista pública para discutir assuntos de segurança
relacionados à distribuição. Acesse http://distro.conectiva.com.br/lista/
para obter mais informações.

- -------------------------------------------------------------------------
cadastramento: atualizacoes-anuncio-subscribepapaleguas.conectiva.com.br
cancelamento: atualizacoes-anuncio-unsubscribepapaleguas.conectiva.com.br
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.0.6 (GNU/Linux)
Comment: For info see http://www.gnupg.org

iD8DBQE9bm5c42jd0JmAcZARAgobAKDn1sU+eLe2xOCGWZveOMultzTXsACg4jp8
9Iyzfz3AUGW3SZePht2y2UI=
=FYvG
-----END PGP SIGNATURE-----

Messages sorted by: [ date ] [ thread ] [ subject ] [ author ]