複数の脆弱性が、問題追跡システムの Request Tracker（RT）で発見されました。

- CVE-2012-4730 認証されているユーザーは、RT によって生成されているメールに任意のヘッダーまたはコンテンツを追加できます。

- CVE-2012-4732 A CSRF 脆弱性により、攻撃者がチケットブックマークをトグルできる可能性があります。

- CVE-2012-4734 ユーザーが、細工された URI に従い、RT にログインした場合、CSRF 回避ロジックによって正常にブロックされているアクションを発生させる可能性があります。

- CVE-2012-6578、CVE-2012-6579、CVE-2012-6580、CVE-2012-6581

GnuPG プロセスにおける複数の異なる脆弱性により、攻撃者が RT に送信メールに不適切に署名させる可能性があります。

- CVE-2012-4884 GnuPG サポートが有効化されている場合、認証されているユーザーは Web サーバーユーザーとして任意のファイルを作成できます。これにより、任意のコード実行が可能になります。

Apache Web サーバーで request-tracker3.8 を実行する場合は、 Apache を手動で停止して起動する必要があります。特に mod_perl を使用するときは、「再起動」メカニズムが推奨されません。

検出

Debian DSA-2567-1：request-tracker3.8 - いくつかの脆弱性

medium Nessus プラグイン ID 62722

変更ログが見つかりません