Debian DSA-3335-1：request-tracker4 - セキュリティ更新

medium Nessus プラグイン ID 85388

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

Request Tracker は、拡張可能なトラブルチケット追跡システムであり、クロスサイトスクリプティング攻撃の影響を受けやすいことが判明しました。この攻撃は、ユーザーおよびグループの権限管理ページ（CVE-2015-5475）を介して、および暗号インターフェイスを介して行われ、これによって攻撃者は、注意深く細工されたキーを使用して、JavaScript を RT のユーザーインターフェイスに注入できます。
GnuPG も S/MIME も使用しないインストールは、第 2 のクロスサイトスクリプティング脆弱性に影響されません。

ソリューション

request-tracker4 パッケージにアップグレードしてください。

旧安定版（oldstable）ディストリビューション (wheezy) では、これらの問題は、バージョン 4.0.7-5+deb7u4.で修正済みです。旧安定版（oldstable）ディストリビューション（lwheezy）は、CVE-2015-5475 のみの影響を受けます。

安定版（stable）ディストリビューション（jessie）では、これらの問題はバージョン 4.2.8-3+deb8u1 で修正されています。