CardDAV/CalDAV サーバーである radicale で、2 つの脆弱性が修正されました。

- CVE-2015-8747 マルチファイルシステムストレージバックエンド（デフォルトでは構成されず、Wheezy では利用できません）により、任意のファイルへの読み取りと書き込みのアクセスが利用可能です（radicale サーバーが実行しているユーザーの DAC パーミッションの対象です）。

- CVE-2015-8748 攻撃者が `.*', のようなユーザー名で認証することができた場合、正規表現をベースとしたルールが課す読み取り/書き込みの制限をバイパスすることができます。これには、「owner_write」（全ユーザーのための読み取り、カレンダーオーナーのための書き込み）および「owner_only」（カレンダーオーナーのための読み取りと書き込み）といった組み込みルールも含まれます。

検出

Debian DSA-3462-1：radicale - セキュリティ更新

critical Nessus プラグイン ID 88497

変更ログが見つかりません