Debian DSA-3298-1：jackrabbit - セキュリティ更新

medium Nessus プラグイン ID 84474

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

Jackrabbit WebDAV バンドルが、XXE/XEE 攻撃に脆弱であることが判明しました。XML を含む WebDAV リクエスト本文を処理するときに、XML パーサーは、「http(s)」または「file」などの URI スキーマで識別されるホストにアクセス可能なネットワークリソースからコンテンツを読むように指示される可能性があります。WebDAV リクエストによっては、これは、内部ネットワークリクエストを発生させるために使用されるだけでなく、前述のコンテンツをリクエストに挿入して、それを攻撃者などに漏洩するために使用される可能性もあります。

ソリューション

jackrabbit パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（wheezy）では、この問題はバージョン 2.3.6-1+deb7u1 で修正されています。

安定版（stable）ディストリビューション（jessie）では、この問題はバージョン 2.3.6-1+deb8u1 で修正されています。