spanish/security/2004/dsa-422.wml


1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39

#use wml::debian::translation-check translation="55a70d0c0f3df8d4df237334ac6de72daaa99f73"
<define-tag description>vulnerabilidad remota</define-tag>
<define-tag moreinfo>
<p>La gestión remota del servidor «pserver» del CVS (que se usa para
dar acceso a los almacenes CVS remotos) usa un archivo
<kbd>CVSROOT/passwd</kbd> en cada almacén, que tiene las cuentas e
información de la identificación así como el nombre de la cuenta local
unix correspondiente a la de pserver.  Como CVS no realizaba
comprobaciones sobre qué cuenta unix se especificaba, cualquiera que
pudiera modificar <kbd>CVSROOT/passwd</kbd> podría obtener acceso a
todos los usuarios locales del servidor CVS, incluyendo root.</p>

<p>Esta incidencia se ha corregido en la versión original 1.11.11, evitando
que pserver corra como root.  Para Debian, este problema se ha soluciado
en la versión 1.11.1p1debian-9 de dos formas diferentes:</p>

<ul>
<li>a pserver no se le permite usar root para acceder a los almacenes</li>

<li>se introduce un nuevo archivo <kbd>/etc/cvs-repouid</kbd>; el
  administrador del sistema lo puede usar para indicar que se use
  ésta en lugar de la cuenta unix para acceder a un almacén.  Se
  puede encontrar más información sobre este cambio en
  <url "http://www.wiggy.net/code/cvs-repouid/"></li>
</ul>

<p>Además, el servidor «pserver» CVS tenía un error en las peticiones
de análisis de peticiones de módulos, que se podría usar para crear
archivos y directorios fuera del almacén.  Esto se ha corregido en
la versión original 1.11.11 y en la versión de Debian
1.11.1p1debian-9.</p>

<p>Por último, la máscara «umask» que se usaba en &ldquo;cvs init&rdquo;
y &ldquo;cvs-makerepos&rdquo; se ha cambiado para evitar que se creen
almacenes con permisos de escritura para el grupo.</p>
</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/security/2004/dsa-422.data"