Debian DSA-2234-1：zodb - 數個弱點

high Nessus Plugin ID 53861

語系：

概要

遠端 Debian 主機缺少安全性更新。

說明

在用於使用 ZODB 的一組工具 python-zodb 中發現數個遠端弱點，其可導致在最壞的情況下執行任意程式碼。Common Vulnerabilities and Exposures 專案發現下列問題：

- CVE-2009-0668 取消選取從惡意用戶端接收的資料時，ZEO 伺服器未限制可呼叫項目，攻擊者可利用此問題，藉由傳送特定例外狀況 pickle 在伺服器上執行任意 Python 程式碼。
這也可讓攻擊者在 ZEO 匯入含有 pickle 中所指定可呼叫項目的模組來測試特定旗標時，匯入任何可匯入模組。

- CVE-2009-0669 由於一個程式設計錯誤，ZEO 的 StorageServer 元件中有一個授權方法未做為內部方法使用。這可讓惡意用戶端在連線至 ZEO 伺服器時，只要呼叫此授權方法，即可繞過驗證。

此更新也將用戶端可要求的新物件 ID 數量限制為 100，因為其可能要求大批次的新物件 ID 而消耗大量資源。未將任何 CVE id 指派給此弱點。