GLSA 200503-35: Smarty: Template vulnerability

http://security.gentoo.org/

Опасность:	высокая
Заголовок:	Smarty: Template vulnerability
Дата:	30.03.2005
Ошибки:	#86488
ID:	200503-35

Сводка

Smarty's "Template security" feature can be bypassed, potentially allowing a remote attacker to execute arbitrary PHP code.

Назначение

Smarty is a template engine for PHP. The "template security" feature of Smarty is designed to help reduce the risk of a system compromise when you have untrusted parties editing templates.

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
dev-php/smarty	< 2.6.9	>= 2.6.9	All supported architectures

Описание

A vulnerability has been discovered within the regex_replace modifier of the Smarty templates when allowing access to untrusted users. Furthermore, it was possible to call functions from {if} statements and {math} functions.

Воздействие

These issues may allow a remote attacker to bypass the "template security" feature of Smarty, and execute arbitrary PHP code.

Обход

Do not grant template access to untrusted users.

Решение

All Smarty users should upgrade to the latest version:

    # emerge --sync
    # emerge --ask --oneshot --verbose ">=dev-php/smarty-2.6.9"

Ссылки

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-200503-35.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.