このmailmanのバージョン2.1.27への更新では、次の問題が修正されます：

以下のセキュリティの問題が修正されました。

  - CVE-2018-0618：listinfoおよびエラーメッセージページへのスクリプト注入に対する保護の強化（bsc#1099510）。

以下のセキュリティ以外の問題が、修正されました。

  - SUBSCRIBE_FORM_SECRETが設定されている場合に生成されるハッシュは、異なるリストおよびIPアドレスに対して同時に生成されるものと同じである場合があります。

  - メンバーを即時に追加する代わりに、招待を発行するためのオプションがbin/add_membersに追加されました。

  - 新しいBLOCK_SPAMHAUS_LISTED_IP_SUBSCRIBE設定が追加されました。これにより、Spamhaus SBL、CSSまたはXBLにリストされているIPv4アドレスからのWebサブスクリプションをブロックできるようになります。Pythonのpy2-ipaddressモジュールがインストールされている場合、IPv6アドレスで動作します。このモジュールは、お使いのPythonに含まれていない場合にはpipを使用してインストールできます。

  - Mailmanに新しい「セキュリティ」ログが追加され、さまざまなWeb CGI機能に対する認証の失敗が記録されます。ログに記録されるデータにはリモートIPが含まれており、fail2banなどでIPを自動ブロックするときに使用できます。Mailman 2.1.14以降、これらによりhttp401ステータスが返され、情報はWebサーバーにより記録されますが、この新しいログではこれがより便利になります。また、リモートIPが使用可能ある場合には「hostile listname」noeの「mischief」ログエントリにリモートIPが含まれます。

  - サブスクライブ（サブスクライブ解除）の管理通知で、アクションのソースを示すことができます。これは、admin(un)subscribeack.txtテンプレートに追加された%(whence)s置換で構成されています。英語以外の言語のテンプレートを更新し、その理由の国際化に尽力していただいたYasuhito FUTATSUKI氏に感謝の意を表します。

  新しいBLOCK_SPAMHAUS_LISTED_DBL_SUBSCRIBE設定が追加されました。これにより、Spamhaus DBLにリストされているドメインのアドレスに対するWebサブスクリプションをブロックできるようになります。

検出

openSUSEセキュリティ更新プログラム：mailman（openSUSE-2019-495）

medium Nessus プラグイン ID 123204

バージョン 1.6