Debian DSA-3502-1：roundup - セキュリティ更新

medium Nessus プラグイン ID 89121

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

Ralf Schlatterbeck 氏は、Web ベースの問題追跡システムである roundup に情報漏洩があることを発見しました。認証された攻撃者は、これを利用して、他のユーザーのハッシュされたパスワードなどの、機密性の高い詳細を見てみる可能性があります。

出荷されたテンプレートを修正している更新を適用したら、サイトの管理者は、（通常では /var/lib/roundup 内の）インスタンスバージョンを、手動でパッチを当てるか作成し直すことで、必ず更新する必要もあります。

詳細については、次の Upstream 説明書を参照してください：http://www.roundup-tracker.org/docs/upgrading.html#user-data-visibility

ソリューション

roundup パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（wheezy）では、この問題はバージョン 1.4.20-1.1+deb7u1 で修正されています。

安定版（stable）ディストリビューション（jessie）では、この問題はバージョン 1.4.20-1.1+deb8u1 で修正されています。