Debian DSA-3882-1: request-tracker4 - セキュリティ更新

high Nessus プラグイン ID 100818

Language:

概要

リモートのDebianホストにセキュリティ関連の更新プログラムがありません。

説明

複数の脆弱性が、拡張トラブルチケット追跡システムである Request Tracker で発見されました。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2016-6127 攻撃者が特定のコンテンツタイプを持つ悪意のあるファイルをアップロードした場合、Request Trackerはクロスサイトスクリプティング（XSS）攻撃に対して脆弱であることが判明しました。
AlwaysDownloadAttachments構成設定を使用するインストールは、この欠陥の影響を受けません。適用された修正は、既存の添付ファイルと将来アップロードされる添付ファイルのすべてに対応します。

- CVE-2017-5361 Request Trackerが、ユーザーパスワードのタイミングのサイドチャネル攻撃に対して脆弱であることがわかりました。

- CVE-2017-5943 Request Trackerが、攻撃者によって巧妙に作りこまれたURLにアクセスするよう誘導された場合、クロスサイトリクエスト偽造（CSRF）検証トークンの情報漏洩に脆弱であることが判明しました。

- CVE-2017-5944 Request Trackerが、ダッシュボードのサブスクリプションインターフェイスでリモートコード実行の脆弱性に影響を受けやすくなっていることが判明しました。権限のある攻撃者がこの欠陥を利用して、注意深く細工された保存済み検索名を通じて、予期しないコードを実行する可能性があります。
適用された修正は、既存および将来の保存済み検索のすべてに対応します。

上述のCVEに加えて、この更新はEmail::AddressのCVE-2015-7686を中心に動作し、Request Tracker自体のサービス拒否を引き起こす可能性があります。

ソリューション

request-tracker4パッケージをアップグレードしてください。

安定版 (stable) ディストリビューション (jessie) では、これらの問題はバージョン4.2.8-3+deb8u2で修正されています。

将来の安定版（stable）ディストリビューション（stretch）では、これらの問題はバージョン4.4.1-3+deb9u1で修正されています。