openSUSE セキュリティ更新：subversion （openSUSE-SU-2013:0687-1）
medium Nessus プラグイン ID 74976
Language:
概要
リモート openSUSE ホストに、セキュリティ更新がありません。説明
Subversion にマイナーなバージョン更新があり、mod_dav_svn にあるリモートで発生可能な脆弱性が修正されました。これにより、サービス拒否が引き起こされる可能性があります。openSUSE 12.1 で：
- 1.6.21 への更新 [bnc#813913]、リモートで発生可能な問題に対処
+ CVE-2013-1845：mod_dav_svn によるプロパティの変更からの過剰なメモリ使用率
+ CVE-2013-1846：mod_dav_svn が、アクティビティ URL に対する LOCK リクエストでクラッシュ
+ CVE-2013-1847：mod_dav_svn が、存在しない URL に対する LOCK リクエストでクラッシュ
+ CVE-2013-1849：mod_dav_svn が、アクティビティ URL に対する PROPFIND リクエストでクラッシュ
- その他の変更：
+ mod_dav_svn がアクティビティ url のプロパティの値を省略
+ mod_dav_svn でプロパティをコミットする際のメモリの使用率を改善します
+ mod_dav_svn が pre-revprop-change を 2 回実行するのを修正します
+ post-revprop-change エラーがコミットをキャンセルするのを修正しました。
+ mod_dav_svn のロック実装でロジックを改善しました。
+ g++ 4.7 の互換性の問題を修正します
openSUSE 12.2 と 12.3：
- 1.7.9 への更新 [bnc#813913]、サービス拒否を引き起こす可能性のある mod_dav_svn にあるリモートで発生可能な脆弱性に対処：
+ CVE-2013-1845：mod_dav_svn によるプロパティの変更からの過剰なメモリ使用率
+ CVE-2013-1846：mod_dav_svn が、アクティビティ URL に対する LOCK リクエストでクラッシュ
+ CVE-2013-1847：mod_dav_svn が、存在しない URL に対する LOCK リクエストでクラッシュ
+ CVE-2013-1849：mod_dav_svn が、アクティビティ URL に対する PROPFIND リクエストでクラッシュ
+ CVE-2013-1884：mod_dav_svn crashes がログ REPORT の範囲外制限でクラッシュ
- その他の変更：
+ クライアント側のバグ修正：
- svn:date と svn:author の prop に関するエラーメッセージを改善しました。
- local_relpath アサーションを修正します
- svn:// の「svn log」にあるメモリ漏洩を修正します
- neon http ライブラリの使用時に発生する不適切な承認エラーを修正します
- kwallet の使用時に発生するセグメンテーション違反を修正します
+ サーバー側のバグ修正：
- svnserve がローウォーター rev ではなくリプレイ rev を記録します。
- mod_dav_svn がアクティビティ url のプロパティの値を省略します
- / でプロキシーとして機能しているときに mod_dav_svn で発生するアサーションを修正します
- mod_dav_svn でプロパティをコミットする際のメモリの使用率を改善します
- svnrdump を修正し、非 LF ラインエンディングなしのダンプファイルをロードできるようにします
- rep-cache にアクセスできないときに生じるアサーションを修正します
- mod_dav_svn のロック実装でロジックを改善しました。
- 制限のあるログで不必要なコードを実行することを回避します
- 開発者の目に見える変更：
+ 一般：
- Windows の dav_svn_get_repos_path() のアサーションを修正します
- get-deps.sh を修正して、適切に zlib をダウンロードできるようにします
- 現在は、インデックスの生成時に、doxygen doc がプレフィックスを無視するようになりました
- freebsd の get-deps.sh を修正します
+ バインド：
- 現在は、javahl status api が ignoreExternals ブーリアンを反映するようになっています
- subversion-no-build-date.patch をリフレッシュし、upstream のソースを変更します
ソリューション
影響を受ける subversion パッケージを更新してください。参考資料
https://bugzilla.novell.com/show_bug.cgi?id=813913
https://lists.opensuse.org/opensuse-updates/2013-04/msg00095.html
プラグインの詳細
深刻度: Medium
ID: 74976
ファイル名: openSUSE-2013-345.nasl
バージョン: 1.6
タイプ: local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2014/6/13
更新日: 2021/1/19
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 4.4
CVSS v2
リスクファクター: Medium
基本値: 5
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:P
脆弱性情報
CPE: p-cpe:/a:novell:opensuse:libsvn_auth_gnome_keyring-1-0, p-cpe:/a:novell:opensuse:libsvn_auth_gnome_keyring-1-0-debuginfo, p-cpe:/a:novell:opensuse:libsvn_auth_kwallet-1-0, p-cpe:/a:novell:opensuse:libsvn_auth_kwallet-1-0-debuginfo, p-cpe:/a:novell:opensuse:subversion, p-cpe:/a:novell:opensuse:subversion-bash-completion, p-cpe:/a:novell:opensuse:subversion-debuginfo, p-cpe:/a:novell:opensuse:subversion-debugsource, p-cpe:/a:novell:opensuse:subversion-devel, p-cpe:/a:novell:opensuse:subversion-perl, p-cpe:/a:novell:opensuse:subversion-perl-debuginfo, p-cpe:/a:novell:opensuse:subversion-python, p-cpe:/a:novell:opensuse:subversion-python-debuginfo, p-cpe:/a:novell:opensuse:subversion-ruby, p-cpe:/a:novell:opensuse:subversion-ruby-debuginfo, p-cpe:/a:novell:opensuse:subversion-server, p-cpe:/a:novell:opensuse:subversion-server-debuginfo, p-cpe:/a:novell:opensuse:subversion-tools, p-cpe:/a:novell:opensuse:subversion-tools-debuginfo, cpe:/o:novell:opensuse:12.1, cpe:/o:novell:opensuse:12.2, cpe:/o:novell:opensuse:12.3
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
パッチ公開日: 2013/4/8
参照情報
CVE: CVE-2013-1845, CVE-2013-1846, CVE-2013-1847, CVE-2013-1849, CVE-2013-1884