Mandriva Linux セキュリティアドバイザリ:subversion(MDVSA-2015:085)

medium Nessus プラグイン ID 82338

概要

リモート Mandriva Linux ホストには、1 つ以上のセキュリティ更新がありません。

説明

更新済み subversion パッケージは、次のセキュリティの脆弱性を修正します:

SVNListParentPath が有効なとき、1.8.8 以前の Apache Subversion の mod_dav_svn モジュールにより、リモートの攻撃者が OPTIONS リクエストを介してサービス拒否(クラッシュ)を引き起こすことができます(CVE-2014-0032)。

Ben Reser 氏が、Subversion がワイルドカードを含む SSL 認証情報を正しく検証しなかったことを発見しました。リモートの攻撃者が、これを悪用して、中間者攻撃を実行し、機密情報を表示することや、暗号化通信を変更することがありました(CVE-2014-3522)。

キャッシュされた認証情報が、Subversion によって適切に処理されないことを、 Bert Huijben 氏が見つけました。悪意のあるサーバーがこの問題を使用して、別のサーバー用にキャッシュされた認証情報を取得するきおとがありました(CVE-2014-3528)。

mod_dav_svn が REPORT リクエストを処理する方法に、 NULL ポインターデリファレンスの欠陥が見つかりました。認証されていないリモートの攻撃者が、細工された REPORT リクエストを使用して、mod_dav_svn をクラッシュさせる可能性があります(CVE-2014-3580)。

mod_dav_svn が仮想トランザクション名に対する URI を処理する方法に、 NULL ポインターデリファレンスの欠陥が見つかりました。認証されていないリモートの攻撃者が、存在しない仮想トランザクション名に対するリクエストを送信して、 mod_dav_svn をクラッシュさせる可能性があります(CVE-2014-8108)。

ソリューション

影響を受けるパッケージを更新してください。

参考資料

http://advisories.mageia.org/MGASA-2014-0105.html

http://advisories.mageia.org/MGASA-2014-0339.html

http://advisories.mageia.org/MGASA-2014-0545.html

プラグインの詳細

深刻度: Medium

ID: 82338

ファイル名: mandriva_MDVSA-2015-085.nasl

バージョン: 1.4

タイプ: local

公開日: 2015/3/30

更新日: 2021/1/14

サポートされているセンサー: Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 4.7

CVSS v2

リスクファクター: Medium

Base Score: 4.3

ベクトル: CVSS2#AV:N/AC:M/Au:N/C:N/I:N/A:P

脆弱性情報

CPE: p-cpe:/a:mandriva:linux:apache-mod_dav_svn, p-cpe:/a:mandriva:linux:lib64svn0, p-cpe:/a:mandriva:linux:lib64svnjavahl1, p-cpe:/a:mandriva:linux:perl-svn, p-cpe:/a:mandriva:linux:perl-svn-devel, p-cpe:/a:mandriva:linux:python-svn, p-cpe:/a:mandriva:linux:python-svn-devel, p-cpe:/a:mandriva:linux:ruby-svn, p-cpe:/a:mandriva:linux:ruby-svn-devel, p-cpe:/a:mandriva:linux:subversion, p-cpe:/a:mandriva:linux:subversion-devel, p-cpe:/a:mandriva:linux:subversion-doc, p-cpe:/a:mandriva:linux:subversion-server, p-cpe:/a:mandriva:linux:subversion-tools, p-cpe:/a:mandriva:linux:svn-javahl, cpe:/o:mandriva:business_server:2

必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/Mandrake/release, Host/Mandrake/rpm-list

パッチ公開日: 2015/3/28

参照情報

CVE: CVE-2014-0032, CVE-2014-3522, CVE-2014-3528

MDVSA: 2015:085