複数の脆弱性が、拡張トラブルチケット追跡システムである Request Tracker で発見されました。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

CVE-2014-9472

Christian Loos 氏は、メールゲートウェイを介して悪用可能であり、信頼できない送信元からのメールを許可するインストールに影響を与える、リモートサービス拒否の脆弱性を発見しました。RT のロギング構成に応じて、リモートの攻撃者はこの欠陥を悪用して、CPU やディスクを必要以上に使用させることができます。

CVE-2015-1165

Christian Loos 氏は、RSS フィードの URL およびチケットデータを漏洩する可能性がある、情報漏洩の欠陥を発見しました。

CVE-2015-1464

RSS フィードの URL がセッションハイジャックを行うために利用されることにより、URL を持つユーザーが、フィードを作成したユーザーとしてログインする可能性があることが判明しました。

旧安定版（oldstable）ディストリビューション（squeeze）では、これらの問題はバージョン 3.8.8-7+squeeze9 で修正されています。

request-tracker3.8 パッケージをアップグレードすることを推奨します。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

検出

Debian DLA-158-1：request-tracker3.8 セキュリティ更新

high Nessus プラグイン ID 82141

変更ログが見つかりません