DebianDSA-4165-1：ldap-account-manager - セキュリティ更新

high Nessus プラグイン ID 108817

Language:

概要

リモートのDebianホストにセキュリティ関連の更新プログラムがありません。

説明

Michal Kedzior氏は、LDAPディレクトリのWebフロントエンドであるLDAP Account Managerに2つの脆弱性を発見しました。

- CVE-2018-8763見つかった反射型クロスサイトスクリプティング（XSS）の脆弱性により、攻撃者が被害者のブラウザでJavaScriptコードを実行したり、被害者が特別に細工されたリンクをクリックした場合に、悪意のあるWebサイトにリダイレクトしたりする可能性があります。

- CVE-2018-8764アプリケーションがURLのCSRFトークンを漏洩します。これにより、攻撃者が、クロスサイトリクエストフォージェリ攻撃を実行する可能性があります。このため、LDAPアカウントマネージャーにログインしている被害者が、攻撃者が細工したリンクをクリックすると、フロントエンドで好ましくない動作を実行する可能性があります。

ソリューション

ldap-account-managerパッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（jessie）では、これらの問題はバージョン4.7.1-1+deb8u1で修正されています。

安定版（stable）ディストリビューション（stretch）では、これらの問題はバージョン5.5-1~deb9u1で修正されています。