Debian DSA-3439-1：prosody - セキュリティ更新

high Nessus プラグイン ID 87829

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

軽量 Jabber/XMPP サーバーである Prosody で 2 つの脆弱性が発見されました。Common Vulnerabilities and Exposures プロジェクトでは、次の問題を特定しています：

- CVE-2016-1231 Kim Alvefur 氏は、Prosody の HTTP ファイルサービングモジュールに欠陥を発見しました。これにより、構成されたパブリックルートディレクトリの外側のリクエストに対応することが可能です。リモートの攻撃者がこの欠陥を悪用して、機密データを含むプライベートファイルにアクセスする可能性があります。デフォルトの構成では、mod_http_files モジュールは有効にならないため、脆弱になりません。

- CVE-2016-1232 Thijs Alkemade 氏は、Prosody のサーバー間ダイヤルバック認証用の秘密トークン生成が、暗号学的にセキュアでない弱い乱数発生器に依存していることを発見しました。リモートの攻撃者がこの欠陥を利用して、秘密鍵のあり得る値を推測して、ネットワーク上の他のサーバーに対して影響を受けるドメインになりすます可能性があります。

ソリューション

prosody パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション (wheezy) では、これらの問題は、バージョン 0.8.2-4+deb7u3.で修正済みです。

安定版（stable）ディストリビューション（jessie）では、これらの問題はバージョン 0.9.7-2+deb8u2 で修正されています。