Debian DLA-1942-2 : phpbb3回帰の更新プログラム

high Nessus プラグイン ID 129477

Language:

概要

リモートの Debian ホストにセキュリティ更新プログラムがありません。

説明

CVE-2019-16993

phpBBで、管理コントロールパネルのBBCodeのページで、includes/acp/acp_bbcodes.phpによるCSRFトークンの検証が不適切でした。ターゲット設定の前に攻撃者が、再認証された管理者のセッションIDも取得できた場合、実際にCSRF攻撃が可能になっていました。

CVE-2019-13776

phpBBでは、リモートアバター機能のCSRFを利用することにより、管理コントロールパネルのセッションIDが盗まれる可能性がありました。CSRFトークンのハイジャックにより、蓄積型XSSになります。

Debian 8「Jessie」では、これらの問題はバージョン3.0.12-5+deb8u4で修正されました。

お使いのphpbb3パッケージのアップグレードをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。