git.gag.com Git - debian/amanda/blob - docs/SECURITY

   1 AMANDA TEAM RESPONSE TO CPIO Security Notice Issue 11:
   2
   3 The Amanda development team confirms the existence of the amrecover
   4 security hole in recent versions of Amanda.  We have made a new
   5 release, Amanda 2.4.0b5, that fixes the amrecover problem and other
   6 potential security holes, and is the product of a security audit
   7 conducted in conjunction with the OpenBSD effort.  The new version is
   8 available at:
   9
  10         ftp://ftp.amanda.org/pub/amanda/amanda-2.4.0b5.tar.gz
  11
  12 Here's some more information about the amrecover problem to supplement the
  13 information given in the CPIO Security Notice:
  14
  15 VERSIONS AFFECTED:
  16
  17 The Amanda 2.3.0.x interim releases that introduced amrecover, and the
  18 2.4.0 beta releases by the Amanda team are vulnerable.
  19
  20 Amanda 2.3.0 and earlier UMD releases are not affected by this particular
  21 bug, as amrecover was not part of those releases.  However, earlier
  22 releases do have potential security problems and other bugs, so the Amanda
  23 Team recommends upgrading to the new release as soon as practicable.
  24
  25 WORKAROUND:
  26
  27 At an active site running Amanda 2.3.0.x or 2.4.0 beta, amrecover/amindexd
  28 can be disabled by:
  29
  30 - removing amandaidx and amidxtape from /etc/inetd.conf
  31
  32 - restarting inetd.conf (kill -HUP should do)
  33
  34 This will avoid this particular vulnerability while continuing to run backups.
  35 However, other vulnerabilities might exist, so the Amanda Team recommends
  36 upgrading to the new release as soon as practicable.
  37
  38 ACKNOWLEGMENTS:
  39
  40 This release (2.4.0) has addressed a number of security concerns with
  41 the assistance of Theo de Raadt, Ejovi Nuwere and David Sacerdote of
  42 the OpenBSD project.  Thanks guys!  Any problems that remain are our
  43 own fault, of course.
  44
  45 The Amanda Team would also like to thank the many other people who have
  46 contributed suggestions, patches, and new subsystems for Amanda.  We're
  47 grateful for any contribution that helps us achieve and sustain critical
  48 mass for improving Amanda.