-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

 --------------------------------------------------------------------------
   Turbolinux Security Advisory TLSA-2005-9
   http://www.turbolinux.co.jp/security/
                                             security-team@turbolinux.co.jp
 --------------------------------------------------------------------------

 Original released date: 26 Jan 2005
 Last revised: 26 Jan 2005

 Package: gzip

 Summary: Possible symlink attack may allow arbitrary file overwriting

 More information:
    gzip is a compression utility designed to be a replacement for compress.

    A vulnerability in the manner in which gzip handles temporary files
    could allow local users to overwrite arbitrary files via a symlink attack.

 Impact:
    This vulerability may allow local users to overwrite arbitrary files
    via a symbolic link attack.

 Affected Products:
    - Turbolinux Appliance Server 1.0 Hosting Edition
    - Turbolinux Appliance Server 1.0 Workgroup Edition
    - Turbolinux 10 Server
    - Turbolinux Home
    - Turbolinux 10 F...
    - Turbolinux 10 Desktop
    - Turbolinux 8 Server
    - Turbolinux 8 Workstation
    - Turbolinux 7 Server
    - Turbolinux 7 Workstation

 Solution:
    Please use the turbopkg (zabom) tool to apply the update. 
 ---------------------------------------------
 [Turbolinux 10 Server, Turbolinux 10 Desktop, Turbolinux 10 F..., 
  Turbolinux Home]
 # turbopkg
 or
 # zabom -u gzip

 [other]
 # turbopkg
 or
 # zabom update gzip
 ---------------------------------------------


 <Turbolinux Appliance Server 1.0 Hosting Edition>

   Source Packages
   Size : MD5

   gzip-1.3.3-5.src.rpm
       330678 0b4aeb40c5791cb69e7f889624f649ce

   Binary Packages
   Size : MD5

   gzip-1.3.3-5.i586.rpm
        96268 56021edc714862f99b36d35a862a249e

 <Turbolinux Appliance Server 1.0 Workgroup Edition>

   Source Packages
   Size : MD5

   gzip-1.3.3-5.src.rpm
       330678 bda93bc97f98b6b64a88618b2522fe7b

   Binary Packages
   Size : MD5

   gzip-1.3.3-5.i586.rpm
        96425 54c5f4f79161110b2e1e593a78572e74

 <Turbolinux 10 Server>

   Source Packages
   Size : MD5

   ftp://ftp.turbolinux.co.jp/pub/TurboLinux/TurboLinux/ia32/Server/10/updates/SRPMS/gzip-1.3.3-5.src.rpm
       330678 ba5f93e1f166fbd28ec09d511c158660

   Binary Packages
   Size : MD5

   ftp://ftp.turbolinux.co.jp/pub/TurboLinux/TurboLinux/ia32/Server/10/updates/RPMS/gzip-1.3.3-5.i586.rpm
        97741 5fc0e455c2aa615ec07f887fa550f922

 <Turbolinux 10 Desktop, Turbolinux 10 F..., Turbolinux Home>

   Source Packages
   Size : MD5

   ftp://ftp.turbolinux.co.jp/pub/TurboLinux/TurboLinux/ia32/Desktop/10/updates/SRPMS/gzip-1.3.3-5.src.rpm
       330678 cd2e575c7712a6707a5f251d6860294d

   Binary Packages
   Size : MD5

   ftp://ftp.turbolinux.co.jp/pub/TurboLinux/TurboLinux/ia32/Desktop/10/updates/RPMS/gzip-1.3.3-5.i586.rpm
        97867 555cbc0ef8c85b65ec213173b5b97a6f

 <Turbolinux 8 Server>

   Source Packages
   Size : MD5

   ftp://ftp.turbolinux.co.jp/pub/TurboLinux/TurboLinux/ia32/Server/8/updates/SRPMS/gzip-1.3.3-5.src.rpm
       330678 6882ac6a387053736e57d8710fb5e4e8

   Binary Packages
   Size : MD5

   ftp://ftp.turbolinux.co.jp/pub/TurboLinux/TurboLinux/ia32/Server/8/updates/RPMS/gzip-1.3.3-5.i586.rpm
        96459 0b494d773435cc8318005f11b5f6d3e5

 <Turbolinux 8 Workstation>

   Source Packages
   Size : MD5

   ftp://ftp.turbolinux.co.jp/pub/TurboLinux/TurboLinux/ia32/Workstation/8/updates/SRPMS/gzip-1.3.3-5.src.rpm
       330678 3ecc8d56bce9d3952ac8107640e760dc

   Binary Packages
   Size : MD5

   ftp://ftp.turbolinux.co.jp/pub/TurboLinux/TurboLinux/ia32/Workstation/8/updates/RPMS/gzip-1.3.3-5.i586.rpm
        96430 36a89d5a23778a8f5e23292645b3837a

 <Turbolinux 7 Server>

   Source Packages
   Size : MD5

   ftp://ftp.turbolinux.co.jp/pub/TurboLinux/TurboLinux/ia32/Server/7/updates/SRPMS/gzip-1.3.3-5.src.rpm
       330678 7694ead88f8ec5d357723810fa7682f7

   Binary Packages
   Size : MD5

   ftp://ftp.turbolinux.co.jp/pub/TurboLinux/TurboLinux/ia32/Server/7/updates/RPMS/gzip-1.3.3-5.i586.rpm
        95347 88a3663e794481891caa4cd54adbe526

 <Turbolinux 7 Workstation>

   Source Packages
   Size : MD5

   ftp://ftp.turbolinux.co.jp/pub/TurboLinux/TurboLinux/ia32/Workstation/7/updates/SRPMS/gzip-1.3.3-5.src.rpm
       330678 ba1efebdc5263f3bc42df4ba04b15869

   Binary Packages
   Size : MD5

   ftp://ftp.turbolinux.co.jp/pub/TurboLinux/TurboLinux/ia32/Workstation/7/updates/RPMS/gzip-1.3.3-5.i586.rpm
        95474 a1ca43139819e82d33b9cbf89af1b1d7


 References:

 CVE
   [CAN-2004-0970]
   http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2004-0970

 --------------------------------------------------------------------------
 Revision History
    26 Jan 2005 Initial release
 --------------------------------------------------------------------------

 Copyright(C) 2005 Turbolinux, Inc. All rights reserved. 

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.6 (GNU/Linux)

iD8DBQFB9x+KK0LzjOqIJMwRAhgFAJ9sJFBuXq6rHJDBYoE1oadMTi40MACeNNI+
AtHAk+TCL35ZjRGIlKKXqko=
=B3WQ
-----END PGP SIGNATURE-----