DebianDSA-3932-1：subversion - セキュリティ更新

critical Nessus プラグイン ID 102372

Language:

概要

リモートのDebianホストにセキュリティ関連の更新プログラムがありません。

説明

集中バージョンコントロールシステムであるSubversionに、複数の問題が発見されました。

- CVE-2016-8734 （jessieのみ）

http(s)を使用するSubversionのmod_dontdothatサーバーモジュールおよびSubversionクライアント：//は、指数関数XMLエンティティ拡張によって引き起こされるサービス拒否攻撃に脆弱でした。

- CVE-2017-9800Joern Schneeweisz氏は、Subversionが悪意を持って構築されたsvn+ssh://URLsを正しく処理していないことを発見しました。これにより、攻撃者は、例えばsvn:外部プロパティを介してまたは「svnsync sync」を使用する際に、任意のシェルコマンドを実行できました。

ソリューション

subversionパッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（jessie）では、これらの問題はバージョン1.8.10-6+deb8u5で修正されています。

安定版（stable）ディストリビューション（stretch）では、これらの問題はバージョン1.9.5-1~deb9u1で修正されています。