Atualizações

Por segurança, todos os pacotes listados aqui também são assinados com a chave PGP da Conectiva. Veja-a em
http://www.conectiva.com.br/conectiva/contato.html

Visão Geral

• 2000-03-01: nmh
• 2000-02-28: htdig
• 2000-02-10: squid
• 2000-01-10: lpr
• 2000-01-06: radiusd-cistron
• 1999-12-10: htdig
• 1999-11-23: sysklogd
• 1999-11-12: proftpd
• 1999-11-12: nfs-server
• 1999-11-11: bind
• 1999-11-08: lynx
• 1999-10-26: kernel-2.0
• 1999-10-26: ypserv
• 1999-10-22: wu-ftpd
• 1999-10-21: bash
• 1999-10-05: mutt
• 1999-09-28: XFree86
• 1999-09-09: mars-nwe
• 1999-09-04: inn
• 1999-08-31: am-utils
• 1999-08-26: vixie-cron
• 1999-08-24: telnet
• 1999-08-24: libtermcap
• 1999-07-27: linuxconf
• 1999-07-27: timetool

Visão Detalhada

pacote: nmh

resumo:	Problema de segurança
anúncio n°:	SER10-027
data:	2000-03-01
palavras-chave:	shell remoto

descrição do problema:

Versões antigas do nmh permitiam a execução de código shell
arbitrário em mensagens recebidas. A atualização para a
versão mais nova é altamente recomendada para os usuários
do nmh.

solução:

Atualize os pacotes de acordo com o descrito abaixo.

pacotes RPM:

servidor-1.0/i386/nmh-1.0.3-1cl.i386.rpm

pacote: htdig

resumo:	Problema de Segurança
anúncio n°:	SER10-026
data:	2000-02-28
palavras-chave:	acesso remoto

descrição do problema:

O htdig possuía um problema de segurança que permitia que
usuários remotos não autorizados pudessem ler qualquer arquivo
do sistema que pudessem ser lidos pelo usuário do htdig.

A nova versão do htdig resolve esse problema. A atualização
é recomendada para todos os usuários do htdig.

solução:

Atualize os pacotes conforme descrito abaixo.

pacotes RPM:

servidor-1.0/i386/htdig-3.1.5-1cl.i386.rpm

pacote: squid

resumo:	problemas de segurança
anúncio n°:	SER10-025
data:	2000-02-10
palavras-chave:	autenticação anônimo poluição de cache

descrição do problema:

Em versões do Squid anteriores a 2.3.STABLE1 alguns problemas
existiam:

* O processo de autenticação poderia ser manipulado de forma indevida
* Cabeçalhos do procolo HTTP desconhecidos não eram eliminados
  corretamente quando a opção de anonimizar pedidos fosse ligada.
* O cache poderia ser poluído caso houvessem vários domínios virtuais
  em um mesmo servidor.

solução:

Atualize os pacotes de acordo com a lista abaixo.

A atualização do Squid é recomendada para todos os usuários que o
utilizam.

pacotes RPM:

servidor-1.0/i386/squid-2.3.1-1cl.i386.rpm

pacote: lpr

resumo:	problemas de segurança
anúncio n°:	SER10-018
data:	2000-01-10
palavras-chave:	lpr lpd

descrição do problema:

O lpr tinha dois problemas de segurança:

- O hostname do cliente não era checado corretamente, o que poderia
  causar a distribuição incorreta de permissões para máquinas não
  autorizadas.

- A forma de passar opções para o sendmail permitia que acesso    
  root fosse conseguido.

   --- (1999-10-26) ---
O pacote lpr foi atualizado para consertar problemas de segurança
e consertar bugs antigos.

   --- (1999-10-22) ---
Foram encontrados problemas de segurança no lpr que permitem
usuarios
 imprimir arquivos sem permissão.

solução:

Atualize o lpr, de acordo com os pacotes abaixo:

pacotes RPM:

servidor-1.0/i386/lpr-0.48-1cl.i386.rpm

pacote: radiusd-cistron

resumo:	O "watcher" do radiusd enviava muitas mensagens para o root
anúncio n°:	SER10-024
data:	2000-01-06
palavras-chave:	radiusd cistron initscripts

descrição do problema:

O "watcher" do radiusd recebia, via initscripts, o caminho errado
para o deamon radiusd, causando o envio de uma série (infindável) de
mensagens para o root.

solução:

O script do radiusd foi modificado de forma a especificar
corretamente o caminho do deamon. Além disso, o pacote sofreu uma
atualização para uma versão mais recente.

pacotes RPM:

servidor-1.0/i386/radiusd-cistron-1.6.1-3cl.i386.rpm

pacote: htdig

resumo:	Problemas de segurança
anúncio n°:	SER10-023
data:	1999-12-10
palavras-chave:	shell

descrição do problema:

O pacote htdig não checava por seqüências especials do shell ao
executar programas auxiliares. Esse problema poderia causar a
execução não autorizada de comandos remotamente. A atualização é
recomendada para todos os usuários do htdig.

solução:

A atualização do pacote resolve esse problema de segurança.

pacotes RPM:

servidor-1.0/i386/htdig-3.1.2-2cl.i386.rpm

pacote: sysklogd

resumo:	Possível ataque DoS no syslogd
anúncio n°:	SER10-022
data:	1999-11-23
palavras-chave:	syslogd DoS

descrição do problema:

O syslogd disponível em todas as versões do Conectiva Linux pode
sofrer de um ataque DoS (negação de serviço). Um usuário do sistema
poderia abrir uma grande quantidade de conexões com o syslogd e
efetivamente desabilitar o servidor.

solução:

Uma nova versão do pacote está disponível para os usuários do
Conectiva Linux. A atualização é recomendada para todos os usuários.


pacotes RPM:

servidor-1.0/i386/sysklogd-1.3.31-10cl.i386.rpm

pacote: proftpd

resumo:	Problemas de segurança
anúncio n°:	SER10-010
data:	1999-11-12
palavras-chave:	buffer overflow

descrição do problema:

Foi lançada uma nova versão do proftpd, que corrige furos de
segurança e adiciona funcionalidades ao proftpd. Devido aos
problemas de segurança (buffer overflows), a atualização é
fortemente recomendada a todos os usuários do proftpd.

Note-se que a atualização contém mudanças feitas pelo time de
desenvolvimento do proftpd, e portanto consultar a documentação é
altamente recomendado.

Mais notavelmente, os usuários das diretivas MaxDownloadBPS e
MaxUploadBPS devem mudar seus arquivos de configuração para
RateReadBPS e RateWriteBPS, que têm funcionalidade mais flexível. A
documentação sobre o novo funcionamento do sistema de limitação de
banda pode ser encontrada em /usr/doc/proftpd*/.

   --- (1999-09-29) ---
Foram encontrados mais problemas no proftpd (buffer overflows)

   --- (1999-09-13) ---
Foram encontrados mais problemas de segurança no proftpd

   --- (1999-08-30) ---
Foram encontrados problemas de segurança no proftpd.

solução:

Atualize o proftpd, de acordo com os pacotes abaixo: 

pacotes RPM:

servidor-1.0/i386/proftpd-1.2.0pre9-12cl.i386.rpm

pacote: nfs-server

resumo:	Problemas de segurança no servidor nfs
anúncio n°:	SER10-003
data:	1999-11-12
palavras-chave:	nfs-server servidor nfs

descrição do problema:

A versão do servidor nfs userlevel nas distribuições citadas possuía
um buffer overflow ao exportar arquivos em modo de leitura e
gravação, devido à falta de checagem do tamanho de um caminho para
um arquivo. A versão atualizada do pacote corrige esse problema de
segurança e outros bugs menores, e é recomendada para os usuários do
servidor NFS userlevel.

   --- (1999-07-27) ---
Devido à vários problemas de segurança contidos em versões
anteriores
do pacote nfs-server, este foi atualizado para a versão mais nova
disponível. Esta versão fixa vários pequenos problemas de segurança
e
DoS que existiam no pacote distribuido originalmente nestas
distribuições. O pacote nfs-server existe apenas no Conectiva Linux
3.0, e na edição Servidor 1.0. No Conectiva Linux 4.0 este pacote
foi
obsoletado pelo pacote knfsd.

solução:

Atualizar o servidor nfs, de acordo com os pacotes descritos abaixo:

pacotes RPM:

servidor-1.0/i386/nfs-server-2.2beta47-1cl.i386.rpm
servidor-1.0/i386/nfs-server-clients-2.2beta47-1cl.i386.rpm

pacote: bind

resumo:	Correção de problemas de segurança
anúncio n°:	SER10-021
data:	1999-11-11
palavras-chave:	bind bind-devel bind-utils

descrição do problema:

Foram encontrados vários problemas de segurança na versão do bind
distribuído com todas as versões do Conectiva Linux. Entre esses
furos, estão os conhecidos como "nxt", "solinger", "fdmax", "sig",
"naptr" e "maxdname".

Maiores informações sobre esses problemas de segurança podem ser
encontradas na página do Internet Software Consortium em
http://www.isc.org/products/BIND/bind-security-19991108.html.

O aviso da CERT está em
http://www.cert.org/advisories/CA-99-14-bind.html.

A atualização é fortemente recomendada para todos os usuários do
BIND.

   --- (1999-07-29) ---
Foi disponibilizado este update apenas para manter a versão do bind
utilizado pelo Conectiva Linux 4.0, como a mais nova possível. Não
há
problemas de segurança conhecidos com a versão do bind que vem
originalmente na distribuição.

solução:

Atualizar o bind, de acordo com os pacotes descritos abaixo:

pacotes RPM:

servidor-1.0/i386/bind/bind-8.2.2P3-2cl.i386.rpm
servidor-1.0/i386/bind/bind-devel-8.2.2P3-2cl.i386.rpm
servidor-1.0/i386/bind/bind-doc-8.2.2P3-2cl.i386.rpm
servidor-1.0/i386/bind/bind-utils-8.2.2P3-2cl.i386.rpm

pacote: lynx

resumo:	incompatibilidade com wuftpd
anúncio n°:	SER10-014
data:	1999-11-08
palavras-chave:	lynx rfc incompatibilidade

descrição do problema:

O Lynx possuía um problema que se manifestava ao conectar a um
servidor ftp wuftpd e possivelmente outros. Versões antigas parariam
sem mostrar a página até que o carregamento fosse interrompido
manualmente pelo usuário. A nova versão do pacote corrige esse
problema.

   --- (1999-09-21) ---
Foram encontrados buffers overflows no lynx que é distribuido com o
Conectiva Linux

solução:

Atualizar o lynx, de acordo com os pacotes abaixo:

pacotes RPM:

servidor-1.0/i386/lynx-2.8.3pre13-16cl.i386.rpm

pacote: kernel-2.0

resumo:	problemas de segurança
anúncio n°:	SER10-020
data:	1999-10-26
palavras-chave:	kernel blind spoof

descrição do problema:

Existem problemas de segurança na pilha TCP do kernel 2.0 (ataque
TCP blind spoof) 

solução:

Atualizar o kernel, de acordo com os pacotes abaixo:

pacotes RPM:

servidor-1.0/i386/cyclades-common-2.0.38-13cl.i386.rpm
servidor-1.0/i386/cyclades-cyclom-y-2.0.38-13cl.i386.rpm
servidor-1.0/i386/cyclades-z-2.0.38-13cl.i386.rpm
servidor-1.0/i386/cyclades-z-X11-2.0.38-13cl.i386.rpm
servidor-1.0/i386/kernel-2.0.38-13cl.i386.rpm
servidor-1.0/i386/kernel-headers-2.0.38-13cl.i386.rpm
servidor-1.0/i386/kernel-ibcs-2.0.38-13cl.i386.rpm
servidor-1.0/i386/kernel-pcmcia-cs-2.0.38-13cl.i386.rpm
servidor-1.0/i386/kernel-source-2.0.38-13cl.i386.rpm

pacote: ypserv

resumo:	problemas de segurança
anúncio n°:	SER10-019
data:	1999-10-26
palavras-chave:	buffer overrun

descrição do problema:

O pacote ypserv contém um furo de segurança.

solução:

A atualização para a versão mais nova do ypserv resolve o problema.

pacotes RPM:

servidor-1.0/i386/ypserv-1.3.9-1cl.i386.rpm

pacote: wu-ftpd

resumo:	problemas de segurança no servidor ftp
anúncio n°:	SER10-002
data:	1999-10-22
palavras-chave:	buffer overrun

descrição do problema:

O wu-ftpd versão 2.5.0 tem pelo menos dois furos de segurança.
   --- (1999-08-25) ---
Foram encontrados problemas de segurança no wu-ftpd

solução:

Atualizar o wu-ftpd 2.6.0, de acordo com os pacotes descritos
abaixo:

pacotes RPM:

servidor-1.0/i386/wu-ftpd-2.6.0-8cl.i386.rpm

pacote: bash

resumo:	Problema de segurança
anúncio n°:	SER10-017
data:	1999-10-21
palavras-chave:	tmp race

descrição do problema:

O bash em todas as versões do Conectiva Linux tem um problema de
segurança relativo à criação de arquivos temporários.

solução:

Atualize o pacote bash.

pacotes RPM:

servidor-1.0/i386/bash-1.14.7-23cl.i386.rpm

pacote: mutt

resumo:	problemas de segurança
anúncio n°:	SER10-016
data:	1999-10-05
palavras-chave:	mutt

descrição do problema:

Foram encontrados problemas de segurança no leitor de email mutt

solução:

Atualizar o mutt, de acordo com os pacotes abaixo :

pacotes RPM:

servidor-1.0/i386/mutt-1.0pre3-5cl.i386.rpm

pacote: XFree86

resumo:	Suporte a novas placas de vídeo e outras correções
anúncio n°:	SER10-005
data:	1999-09-28
palavras-chave:	xfree86 vídeo segurança

descrição do problema:

- adicionado driver para S3 Savage4
- suporte melhorado para SiS 530/620 e 6326
- correções de bugs em vários drivers
- correções de segurança (configuração do xdm/Xaccess e symlink
  do xkbcomp)
- driver para Cyrix MediaGX (retornando para o driver
  existente no XFree-3.3.3.1, mais estável)

   --- (1999-07-30) ---
Várias placas mais recentes são suportadas apenas pelo
XFree86-3.3.4. Principais mudanças nesta versão:

* Suporte a placas com chipset:
  - Intel i740
  - SiS 530 e SiS 620
  - 3Dfx Voodoo Banshee e Voodoo3
  - Trident Blade3D, CyberBlade e Cyber9525
  - S3 Trio3D
  - Matrox G400
  - NVIDIA Riva TNT2

* suporte melhorado à aceleração para todas as placas
  com chipset Riva 
* Reescrito o suporte a Cyrix MediaGX (pela própria Cyrix).
  Aviso: foi reportado que algumas máquinas podem travar com este 
  novo driver. Se isto acontecer, por favor use o servidor SVGA 
  XFree86-3.3.3.1.
* Extensão DGA-1.1 (Direct Graphics Access) da VMWare.
* Atualizações e suporte a novos hardwares (Acecad flair, Calcomp
  DrawingBoard) para a extensão xinput.
* Correções para placas com o chip S3 Aurora64V+ (M65).

solução:

Para saber quais pacotes do XFree86 atualizar, execute como root:

 rpm -qa | grep XFree

Para atualizar os pacotes, primeiro baixe-os de nosso site FTP, então:

 rpm -Uvh XFree*


pacotes RPM:

servidor-1.0/i386/XFree86/XFree86-3.3.5-5cl.i386.rpm
servidor-1.0/i386/XFree86/XFree86-libs-3.3.5-5cl.i386.rpm
servidor-1.0/i386/XFree86/XFree86-SVGA-3.3.5-5cl.i386.rpm
servidor-1.0/i386/XFree86/XFree86-xfs-3.3.5-5cl.i386.rpm
servidor-1.0/i386/XFree86/XFree86-75dpi-fonts-3.3.5-5cl.i386.rpm
servidor-1.0/i386/XFree86/XFree86-100dpi-fonts-3.3.5-5cl.i386.rpm
servidor-1.0/i386/XFree86/XFree86-8514-3.3.5-5cl.i386.rpm
servidor-1.0/i386/XFree86/XFree86-AGX-3.3.5-5cl.i386.rpm
servidor-1.0/i386/XFree86/XFree86-FBDev-3.3.5-5cl.i386.rpm
servidor-1.0/i386/XFree86/XFree86-I128-3.3.5-5cl.i386.rpm
servidor-1.0/i386/XFree86/XFree86-Mach32-3.3.5-5cl.i386.rpm
servidor-1.0/i386/XFree86/XFree86-Mach64-3.3.5-5cl.i386.rpm
servidor-1.0/i386/XFree86/XFree86-Mach8-3.3.5-5cl.i386.rpm
servidor-1.0/i386/XFree86/XFree86-Mono-3.3.5-5cl.i386.rpm
servidor-1.0/i386/XFree86/XFree86-P9000-3.3.5-5cl.i386.rpm
servidor-1.0/i386/XFree86/XFree86-S3-3.3.5-5cl.i386.rpm
servidor-1.0/i386/XFree86/XFree86-S3V-3.3.5-5cl.i386.rpm
servidor-1.0/i386/XFree86/XFree86-VGA16-3.3.5-5cl.i386.rpm
servidor-1.0/i386/XFree86/XFree86-W32-3.3.5-5cl.i386.rpm
servidor-1.0/i386/XFree86/XFree86-3DLabs-3.3.5-5cl.i386.rpm
servidor-1.0/i386/XFree86/XFree86-XF86Setup-3.3.5-5cl.i386.rpm
servidor-1.0/i386/XFree86/XFree86-Xnest-3.3.5-5cl.i386.rpm
servidor-1.0/i386/XFree86/XFree86-Xvfb-3.3.5-5cl.i386.rpm
servidor-1.0/i386/XFree86/XFree86-cyrillic-fonts-3.3.5-5cl.i386.rpm
servidor-1.0/i386/XFree86/XFree86-devel-3.3.5-5cl.i386.rpm
servidor-1.0/i386/XFree86/XFree86-doc-3.3.5-5cl.i386.rpm

pacote: mars-nwe

resumo:	problema de segurança
anúncio n°:	SER10-013
data:	1999-09-09
palavras-chave:	mars mars-nwe buffer overflow

descrição do problema:

Foram encontrados problemas de segurança no mars-nwe

solução:

Atualizar o mars-nwe, de acordo com os pacotes descritos abaixo.

pacotes RPM:

servidor-1.0/i386/mars-nwe-0.99pl15-7cl.i386.rpm

pacote: inn

resumo:	problema de segurança
anúncio n°:	SER10-012
data:	1999-09-04
palavras-chave:	innd inn buffer overflow

descrição do problema:

Foram encontrados problemas de segurança no pacote
innd que possibilitam acesso não autorizado ao sistema.

solução:

Atualizar o innd, de acordo com os pacotes descritos abaixo.

pacotes RPM:

servidor-1.0/i386/inews-2.2.1-15cl.i386.rpm
servidor-1.0/i386/inn-devel-2.2.1-15cl.i386.rpm
servidor-1.0/i386/inn-2.2.1-15cl.i386.rpm

pacote: am-utils

resumo:	problemas de segurança
anúncio n°:	SER10-011
data:	1999-08-31
palavras-chave:	am-utils amd

descrição do problema:

Problemas de segurança foram encontrados no pacote am-utils.

solução:

Atualizar o am-utils, de acordo com os pacotes descritos abaixo.

pacotes RPM:

servidor-1.0/i386/am-utils-6.0.1s11-10cl.i386.rpm

pacote: vixie-cron

resumo:	problema de segurança
anúncio n°:	SER10-009
data:	1999-08-26
palavras-chave:	vixie-cron crond cron

descrição do problema:

Foi encontrado um problema de segurança no daemon cron (vixie-cron) do Conectiva Linux que permite acesso não autorizado ao sistema.

solução:

Atualizar o vixie-cron, de acordo com os pacotes descritos abaixo:

pacotes RPM:

servidor-1.0/i386/vixie-cron-3.0.1-35cl.i386.rpm

pacote: telnet

resumo:	DoS (Denial Of Service) no daemon telnet
anúncio n°:	SER10-007
data:	1999-08-24
palavras-chave:	telnet DoS

descrição do problema:

O servidor telnet possui um DoS (Denial of Service).

solução:

Atualizar o telnet, de acordo com os pacotes descritos abaixo:

pacotes RPM:

servidor-1.0/i386/telnet-0.10-28cl.i386.rpm

pacote: libtermcap

resumo:	problemas de segurança na libtermcap
anúncio n°:	SER10-006
data:	1999-08-24
palavras-chave:	libtermcap

descrição do problema:

Existe um buffer overflow no pacote libtermcap que vem com o Conectiva
Linux 4.0 que possibilita acesso inautorizado ao sistema.

solução:

Atualizar a libtermcap, de acordo com os pacotes descritos abaixo:

pacotes RPM:

servidor-1.0/i386/libtermcap-2.0.8-17cl.i386.rpm
servidor-1.0/i386/libtermcap-devel-2.0.8-17cl.i386.rpm

pacote: linuxconf

resumo:	Problemas com el módulo dnsconf
anúncio n°:	SER10-004
data:	1999-07-27
palavras-chave:	linuxconf dnsconf dns domínio virtual

descrição do problema:

El paquete "linuxconf" distribuido en Conectiva Linux 3.0 y en la edición
Servidor 1.0 tiene problemas con el módulo dnsconf, que es responsable
por la configuración del servidor DNS. La versión de Linuxconf distribuida
en Conectiva Linux 4.0 no tiene tales problemas.

solução:

Actualizar el linuxconf para la versión descrita abajo:

pacotes RPM:

servidor-1.0/i386/linuxconf-1.16-3cl.i386.rpm
servidor-1.0/i386/linuxconf-devel-1.16-3cl.i386.rpm
servidor-1.0/SRPMS/linuxconf-1.16-3cl.src.rpm

pacote: timetool

resumo:	Ano 2000 como bissexto
anúncio n°:	SER10-001
data:	1999-07-27
palavras-chave:	timetool ano bissexto

descrição do problema:

O pacote "timetool", para configuração de data e hora, incluído no
Conectiva Linux 3.0, e edição Servidor 1.0 representa o ano 2000 como
não bissexto, sendo que na verdade, o dia 29 de fevereiro de 2000 é
uma data válida. O timetool incluido na versão 4.0 do Conectiva Linux
não tem este problema.

solução:

Usuários do Conectiva Linux 3.0 e edição Servidor 1.0 devem atualizar
este pacote.

pacotes RPM:

servidor-1.0/noarch/timetool-2.6-1cl.noarch.rpm
servidor-1.0/SRPMS/timetool-2.6-1cl.src.rpm

Por segurança, todos os pacotes listados aqui também são assinados com a chave PGP da Conectiva. Veja-a em
http://www.conectiva.com.br/conectiva/contato.html

info@conectiva.com.br