Debian DSA-3331-1：subversion - セキュリティ更新

medium Nessus プラグイン ID 85354

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

バージョンコントロールシステム subversion のサーバーコンポーネントに、いくつかのセキュリティ問題が見つかりました。

- CVE-2015-3184 Subversion の mod_authz_svn は、Apache HTTP 2.4 を使用する場合、一部の混合匿名／認証環境で匿名アクセスを適切に制限しません。その結果、認証されたアクセスだけが可能となるべきファイルに対して匿名アクセスが可能になります。この問題は、Apache httpd 2.2 しか含んでいないため、旧安定版（oldstable）ディストリビューション（wheezy）には影響しません。

- CVE-2015-3187 Subversion サーバーは、httpd と svnserve の両方とも、パスベースの authz によって非表示にする必要があるパスを一部開示します。
ノードを読み取り不可の場所から読み取り可能な場所にコピーすると、読み取り不可のパスが開示される可能性があります。
この脆弱性はパスのみを開示し、パスのコンテンツは開示しません。

ソリューション

subversion パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（wheezy）では、この問題はバージョン 1.6.17dfsg-4+deb7u10 で修正されています。

安定版（stable）ディストリビューション（jessie）では、これらの問題はバージョン 1.8.10-6+deb8u1 で修正されています。