dropbear: security update to 2016.74
authorJo-Philipp Wich <jo@mein.io>
Fri, 12 Aug 2016 09:44:07 +0000 (11:44 +0200)
committerJo-Philipp Wich <jo@mein.io>
Fri, 12 Aug 2016 09:45:47 +0000 (11:45 +0200)
commit4e8c6f340751c66a602b98b727af28b2a9004313
tree076a4137b57684fdd79b01205f380c336cee4c48
parentf76f83de7117a1a5b3732b97fc8cbe7d73680e9e
dropbear: security update to 2016.74

- Security: Message printout was vulnerable to format string injection.

  If specific usernames including "%" symbols can be created on a system
  (validated by getpwnam()) then an attacker could run arbitrary code as root
  when connecting to Dropbear server.

  A dbclient user who can control username or host arguments could potentially
  run arbitrary code as the dbclient user. This could be a problem if scripts
  or webpages pass untrusted input to the dbclient program.

- Security: dropbearconvert import of OpenSSH keys could run arbitrary code as
  the local dropbearconvert user when parsing malicious key files

- Security: dbclient could run arbitrary code as the local dbclient user if
  particular -m or -c arguments are provided. This could be an issue where
  dbclient is used in scripts.

- Security: dbclient or dropbear server could expose process memory to the
  running user if compiled with DEBUG_TRACE and running with -v

  The security issues were reported by an anonymous researcher working with
  Beyond Security's SecuriTeam Secure Disclosure www.beyondsecurity.com/ssd.html

Signed-off-by: Jo-Philipp Wich <jo@mein.io>
package/network/services/dropbear/Makefile