Sicherheitslücken in CVS, Subversion und libneon
Die Sicherheitslücke in CVS soll in stabilen Versionen bis einschließlich 1.11.15 und in Feature-Releases bis einschließlich 1.12.7 enthalten sein und es Angreifern erlauben, beliebigen Code auszuführen und so auch die Code-Repositories zu verändern. Nutzern von CVS wird daher ein Update auf eine aktuelle Version empfohlen.
Auch im möglichen CVS-Nachfolger Subversion bis einschließlich Version 1.0.2 entdeckte Esser eine Sicherheitslücke, die das Ausführen von beliebigem Code erlaubt. Schuld ist hier ein unsicherer Aufruf innerhalb der Datumsprüfung von Subversion. Da es sehr einfach sei, die entsprechende Sicherheitslücke auszunutzen, rät Esser dringend zu einem Update auf eine aktuelle Version.
In der Bibliothek libneon fand Esser einen ähnlichen Fehler. Die Bibliothek wird vor allem von OpenOffice und Subversion verwendet, die beide aber die fehlerhafte Funktion nicht nutzen und daher nicht verwundbar sind. Dennoch sollte die Bibliothek aktualisiert werden, da möglicherweise andere Anwendungen diese Funktion trotzdem verwenden könnten und damit verwundbar wären.