Debian DSA-3462-1：radicale - セキュリティ更新

critical Nessus プラグイン ID 88497

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

CardDAV/CalDAV サーバーである radicale で、2 つの脆弱性が修正されました。

- CVE-2015-8747 マルチファイルシステムストレージバックエンド（デフォルトでは構成されず、Wheezy では利用できません）により、任意のファイルへの読み取りと書き込みのアクセスが利用可能です（radicale サーバーが実行しているユーザーの DAC パーミッションの対象です）。

- CVE-2015-8748 攻撃者が `.*', のようなユーザー名で認証することができた場合、正規表現をベースとしたルールが課す読み取り/書き込みの制限をバイパスすることができます。これには、「owner_write」（全ユーザーのための読み取り、カレンダーオーナーのための書き込み）および「owner_only」（カレンダーオーナーのための読み取りと書き込み）といった組み込みルールも含まれます。

ソリューション

radicale パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション (wheezy) では、これらの問題はバージョン 0.7-1.1+deb7u1 で修正されています。

安定版（stable）ディストリビューション（jessie）では、これらの問題はバージョン0.9-1+deb8u1 で修正されています。