Debian DSA-2563-1:viewvc - いくつかの脆弱性

medium Nessus プラグイン ID 62665

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

CVS および Subversion リポジトリ用の Web インターフェイスである ViewVC に、いくつかの脆弱性が見つかりました。

- CVE-2009-5024 リモートの攻撃者が cvsdb row_limit 構成設定をバイパスし、結果として制限パラメーターを通じたリソース消費攻撃を仕掛ける可能性があります。

- CVE-2012-3356 リモートの Subversion ビュー機能は、承認を適切に実行しません。これにより、リモートの攻撃者が意図されたアクセス制限をバイパスすることが可能です。

- CVE-2012-3357 Subversion リビジョンビューは、読み取り可能なパスが読み取り不可能なパスからコピーされた場合に、ログメッセージを適切に処理しません。これにより、リモートの攻撃者が機密情報を取得することが可能です。

- CVE-2012-4533 diff により返される「function name(関数名)」行が適切にエスケープされないため、コミットアクセス権がある攻撃者は、クロスサイトスクリプティングを仕掛けることができます。

ソリューション

viewvc パッケージをアップグレードしてください。

安定版(stable)ディストリビューション(squeeze)では、これらの問題はバージョン 1.1.5-1.1+squeeze2 で修正されています。

参考資料

https://security-tracker.debian.org/tracker/CVE-2009-5024

https://security-tracker.debian.org/tracker/CVE-2012-3356

https://security-tracker.debian.org/tracker/CVE-2012-3357

https://security-tracker.debian.org/tracker/CVE-2012-4533

https://packages.debian.org/source/squeeze/viewvc

https://www.debian.org/security/2012/dsa-2563

プラグインの詳細

深刻度: Medium

ID: 62665

ファイル名: debian_DSA-2563.nasl

バージョン: 1.12

タイプ: local

エージェント: unix

公開日: 2012/10/24

更新日: 2021/1/11

サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus

リスク情報

VPR

リスクファクター: Low

スコア: 3.7

CVSS v2

リスクファクター: Medium

基本値: 5

現状値: 3.7

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:P

脆弱性情報

CPE: p-cpe:/a:debian:debian_linux:viewvc, cpe:/o:debian:debian_linux:6.0

必要な KB アイテム: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2012/10/23

参照情報

CVE: CVE-2009-5024, CVE-2012-3356, CVE-2012-3357, CVE-2012-4533

BID: 47928, 54197, 54199, 56161

DSA: 2563