CVE-2018-16854

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

-「Rack: : Request」の「scheme」メソッドを介したクロスサイトスクリプティング（XSS）（CVE-2018-16471）。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

lib/i18n/core_ext/hash.rbにおけるHash#sliceにおけるサービス拒否を修正します（CVE-2014-10077）。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

細工されたSVG要素が再公開された際のXXS（CVE-2018-16468）。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

**バージョン 5.2.27**

  - セキュリティ オブジェクトインジェクションの脆弱性を修正します。
    **CVE-2018-19296**。cyberone.krのSehun Oh氏による報告。

注意： 5.2ブランチは廃止予定であり、2018年12月31日以降はセキュリティ更新プログラムを受信しません。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

これは、v4.18.19安定版（stable）カーネルへの更新であり、ツリー全体にわたる修正が含まれています。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

flatpak 1.0.6リリース。

このリリースは、システム全体でインストールされたアプリケーションが、app dir（/var/lib/flatpak/appのどこか）内にsetuid rootファイルを作成できる問題を修正しています。setuidサポートはflatpaksの内部で無効化されているため、このようなファイルは、ユーザーがflatpakの外部で手動で実行した場合にのみリスクとなります。

システム全体でのflatpakのインストールにはrootアクセスが必要なため、これは非rootユーザーの権限昇格ではなく、rootにsetuidファイルをインストールさせることは全ての従来のパッケージングシステムが許すことです。
ただし、flatpakは、サードパーティリポジトリをより簡単に信頼できるようにするために、それよりも優れているようにしています。

このバージョンでの変更：

  - apply_extraスクリプトによって作成されるファイルの権限が正規化され、スクリプト自体が機能なしで実行されます。

  - ローカルとリモートの構成がwrtコレクションIDで異なる場合の既存のリモートのマッチングを改善します。

  - 新しいflatpakrepo DeployCollectionIDがCollectionIDを置き換え、同じことを行います。flatpakの古いバージョンにはコレクションIDのサポートにバグがあり、このキーは機能するバージョンでのみ尊重されるため、代わりにこれを使用することが推奨されます。

  - X11ソケットは現在、読み取り専用でマウントされています。

----

flatpak 1.0.5リリース。

以前のバージョンには、ランタイムの/etcの一部が読み取り専用でマウントされない、サンドボックスのバグがありました。これは、ランタイムが（デフォルトではなく）ユーザーとしてインストールされた場合、アプリがランタイムでファイルを変更する可能性があることを意味します。ホストの何もランタイムファイルを使用していないため、これはサンドボックスの直接の回避ではありませんが、より高いアクセス許可を持つ別のアプリをアプリが混乱させ、権限を取得する可能性があります。

詳細な変更：

  -  /etc -> /usr/etc bind-mountsを読み取り専用にします。

  - さまざまなアプリ固有の構成ファイルを読み取り専用にします。

  - flatpakは、ostree configでの奇妙な名前の保存に関する問題を回避するために、リモート名についてよりうるさいです。

  - バンドルのlibflatpak処理におけるセグメンテーション違反が修正されました。

  - 翻訳を更新

  - システムのインストールが破損した場合に、ユーザーがインストールしたアプリの実行で問題が発生するflatpak実行の回帰を修正しました。

Upstreamの変更に加えて、この更新はパッケージ問題も修正し、p11-kit-serverに欠如している依存関係を追加して、ホストTLS証明書へのアクセスを修正します。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

**MySQL 5.7.24**

リリースノート：

https://dev.mysql.com/doc/relnotes/mysql/5.7/en/news-5-7-24.html

CVE が修正されています：

CVE-2018-3276 CVE-2018-3200 CVE-2018-3284 CVE-2018-3173 CVE-2018-3162 CVE-2018-3247 CVE-2018-3156 CVE-2018-3161 CVE-2018-3278 CVE-2018-3282 CVE-2018-3187 CVE-2018-3277 CVE-2018-3144 CVE-2018-3133 CVE-2018-3143 CVE-2018-3283 CVE-2018-3171 CVE-2018-3251 CVE-2018-3185 CVE-2018-3155

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

**バージョン 6.0.6**

  - **セキュリティ** オブジェクトインジェクションの脆弱性を修正します。**CVE-2018-19296**。cyberone.krのSehun Oh氏による報告。

  - タガログ語翻訳を追加しました。StoneArtzに感謝の意を表します

  - マラガッシュ語翻訳を追加しました。Hackinet氏に感謝の意を表します

  - セルビア語翻訳を更新し、不適切な言語コードを修正しました。mmilanovic4に感謝の意を表します

  - アラビア語の翻訳を更新しました（MicroDroid）

  - ハンガリー語翻訳を更新しました

  - オランダ語翻訳を更新しました

  - スロベニア語翻訳を更新しました（filips123）

  - スロバキア語翻訳を更新しました（pcmanik）

  - イタリア語翻訳を更新しました（sabas）

  - ノルウェー語翻訳を更新しました（aleskr）

  - インドネシア語翻訳を更新しました（mylastof）

  -  text/htmlやquoted-printableなどの一般的な値に定数を追加し、それらを使用します

  - デバッグを支援するDKIMのコピーされたヘッダーのサポート、およびDKIM署名に余分なヘッダーを追加するオプションを追加しました。これらの使用方法については、DKIM_signの例を参照してください。gwi-mmuthsに感謝の意を表します。

  - Campaign MonitorトランザクションIDパターン照合機能を追加します

  - PHP 7.3で警告を引き起こしている廃止された定数およびini値を削除し、PHP7.3ビルドをTravis構成に追加しました。

  - テスト範囲の拡大しました

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

**MariaDB 10.2.19**

リリースノート：

https://mariadb.com/kb/en/library/mariadb-10219-release-notes/

CVE が修正されています：

CVE-2018-3282 CVE-2016-9843 CVE-2018-3174 CVE-2018-3143 CVE-2018-3156 CVE-2018-3251 CVE-2018-3185 CVE-2018-3277 CVE-2018-3162 CVE-2018-3173 CVE-2018-3200 CVE-2018-3284

追加ノート：

UpstreamのMariaDB廃止ポリシーにより、これはFedora 27をサポートするMariaDB 10.2の最後のリリースになります

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

HLE構造のゲスト使用は、ホストをロックアップする可能性があります[XSA-282]

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

CVE-2018-17098、CVE-2018-17096およびCVE-2018-17097のセキュリティ修正のバージョン

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

- htmlthumbnailerをドロップします。これはセキュリティへの影響があり、十分に機能しませんでした。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

多数のセキュリティ修正が含まれる新規リリース：
http://www.simplesystems.org/libtiff/v4.0.10.html

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

- v1.24.1への更新

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

CVE-2018-14447の修正。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

- Ruby 2.4.5への更新。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

セキュリティ修正リリース、1.3.1以降の変更：

  - [セキュリティ修正]最新のSSH暗号化アルゴリズムをすべて無効にしないでください。

  - 特定の状況下において、リモートメディアプレーヤーの情報が更新されませんでした。

  - URLで正当ではないコマンドUUIDから文字を削除します。

  - 新しい通知は、plasmoidのリストの下部ではなく上部に表示されるようになりました。

  - Dismiss通知アイコンが、Plasmaのものと一致するようになりました。

https://mail.kde.org/pipermail/kde-announce-apps/2018-November/005484も参照してください。
html

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

この更新は、SMTPパーサーのセグメンテーション違反を修正します。このバグはCVE-2018-18956として追跡されます。その他のバグ修正やパフォーマンスの改善が多数あります。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

libmspackおよびcabextractの最新安定版（stable）リリースには、CVE-2018-14680、CVE-2018-14681、CVE-2018-14682、CVE-2018-18584、CVE-2018-18585のセキュリティ修正が含まれています

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

dhcp: 内部プラグインによる DHCPv6 の領域外ヒープ書き込みを修正 (CVE-2018-15688)

注意: Tenable Network Security は、前述の記述ブロックを Fedora 更新システムの Web サイトから直接抽出しています。
Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

- lldptoolがmngAddr TLVを解析する際のシェルエスケープコードの不適切なサニタイズに対するUpstreamの修正を追加します（CVE-2018-10932）。

  - Upstreamパッチを追加して、APP TLVのDSCPセレクターをサポートします。これにより、対応ネットワークデバイスでDSCPベースのパケット優先付けを構成することができます。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

- 4.1.5への更新

リリースノート：
https://blog.powerdns.com/2018/11/06/powerdns-authoritative-server-4-0
-6-4-1-5-and-recursor-4-0-9-4-1-5-released/

PowerDNSセキュリティアドバイザリ2018-03（https://doc.powerdns.com/authoritative/security-advisories/powerdns-a dvisory-2018-03.html）（CVE-2018-10851）

PowerDNSセキュリティアドバイザリ2018-05（https://doc.powerdns.com/authoritative/security-advisories/powerdns-a dvisory-2018-05.html）（CVE-2018-14626）

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

これは、主にメンテナンスの更新です。安定性に関する改善の詳細については、添付のバグを参照してください。

より大きな新機能もあり、Katello / Foremanで行われている作業と合わせてリリースされます。Subscription-managerには、パッケージプロファイルのコンセプトがあります。これには、実行しているシステムにインストールされているすべてのrpmパッケージの情報が含まれています。

弊社は、この報告機能を拡張し、modulemdからの有効でインストール済みのモジュールに関する情報を含め、このシステムが現在有効にしているリポジトリを報告します。

この情報はレポートのグループにまとめられ、Katello / Foreman上の同じエンドポイントに送信されます。 

新しいリクエストは、/consumers/{consumer_uuid}/profilesへのPUTです。これは、GET /statusへの応答のmanagerCapabilitiesキーで文字列「combined_reporting」が実行される場合にのみ行われます。

古いjust rpmプロファイルレポートは、まだ/consumers/{consumer_uuid}/packagesへのPUTとして行われています。これが現時点で行われるのは、サーバー側が新しい機能をサポートしていない場合のみです。

このレポート機能をさらに拡張するために、今後さらに追加される可能性があります。

----

多数のバグ修正。詳細については、rpmの変更ログを参照してください。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

- 2.28への更新により、rhbz #1438979 #1444077および#1602421を修正します

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

- v2.20.0への更新

  - CVE-2018-18074の修正を含みます

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このリリースでは、URL認証コードのバッファオーバーフロー（CVE-2018-18820）、ファイル名が設定されていない場合のhtpasswd認証でのクラッシュ、xsltApplyStylesheet()エラーでのクラッシュ、および無効な形式のOpusストリームでのクラッシュが修正されます。また、グローバルリスナーカウンターも修正します。セキュリティの問題のために、ハッシュされたユーザーパスワードの表示を停止します。OpusストリームをYPカタログに発表するためのサポートが追加されます。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

x86：無効化された場合でも使用可能なネスト化されたVT-x [XSA-278]

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

この更新では、アプリケーションが検証するためにチェックサムを渡す場合、サニティチェックを行います。このリリース以前は、アプリケーションがチェックサムに16進数以外の値を渡す可能性があり、zchunkがクラッシュする可能性がありました。
現在、非16進値は拒否されます。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

以下のためのセキュリティ修正 CVE-2018-14647

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

rpm 4.14.2での残念な回帰により、シンボリックリンク上で--setpermsが不適切に動作します：ファイルおよびディレクトリの権限がシンボリックリンクターゲットで誰でも書き込めるようになり、実行可能になります。類似の欠陥が--setugidsに存在しますが、悪用される可能性は低いです。

rpm 4.14.2で--setperms（または--setugids、--restore ）を使用したことがある場合、混合した権限と所有権を修正する前にrpm --verifyでシステムの整合性を確認し、変更したバイナリにsuid機能を与えないようにする必要があります。

Upstreamで入手可能な--setpermsバグの詳細：
http://rpm.org/wiki/Releases/4.14.2.1

**注意：この更新では、rpmで-setperms、-setugidsまたは-restoreを使用することで発生する潜在的な被害を自動的に修正できず 4.14.2、単に機能自体を修正するだけです。-verifyや-restoreの使用や、パッケージの再インストールなど、破損を手動で調査し、修正する必要があります。**

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

8u191更新

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

**バージョン 1.3.6**

**セキュリティ修正：**

  - プロキシモードのXSSを修正します[#271]（Joachim Fritschi氏）

**バグ修正：**

  - 不良な状態を修正します[#252]（Brice Vercoustre氏）

  - 有効な長さのセッションIDを生成するためのハッシュチケット文字列[#224、#244、#248]（Adam Franco氏）

  - コードの「phpCAS」クラスの大文字化を修正します[#273、#277]（phy25）

**改善：**

  - __autoloadのフォールバックを削除します[#247]（marlanglancy）

  - File.phpでのWindows OSに対するより堅牢なチェック[#275]（xamount）

  - php 7.3の互換性のためのswitch/case内の継続ステートメントを修正します[#278]（stonk7）

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

0.26.8への更新

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

＃バージョン28.2.0「The Awakening」2018-10-25

## バグ修正

  - mkvmerge、mkvinfo、mkvextract、mkvpropedit、MKVToolNix GUIの情報ツールおよびチャプターエディター：以前に解放された後にメモリがアクセスされる問題を修正しました。これは、特別に細工されたMatroskaファイルによって引き起こされ、任意のコードの実行を引き起こす可能性があります。この脆弱性は2018年10月25日にCisco TALOS 2018-0694として報告されました。

＃バージョン 28.1.0「MorningChild」2018-10-23

## バグ修正

  - mkvmerge：AV1パーサー：「reduced_static_picture_header」も「frame_id_numbers_present_flag」も設定されていない場合のシーケンスヘッダーパーサーのエラーを修正しました。#2410の修正の一部。

  - mkvmerge：AV1パーサー：Codec Private要素の「av1C」構造を作成する際に、シーケンスヘッダーOBUが完全にコピーされませんでした：その共通データ（特に、型フィールドおよびOBUサイズ）が欠落していました。#2410の修正の一部。

  - mkvmerge：Matroskaリーダー、AV1：mkvmergeは、MatroskaからAV1またはmkvmerge v28.0.0によって作成されたWebMファイルを読み込む際に、Codec Privateに保存されている「av1C」データを再作成しようとします。#2410の修正の一部。

  - MKVToolNix GUI：情報ツール：EBML Void要素が最初のCluster要素の後に見つかっても、ツールは要素のスキャンを停止しなくなりました。#2413 の修正。

＃Version 28.0.0「Voice In My head」2018-10-20

## 新しい機能および強化

  - mkvmerge：AV1パーサー：最終的なAV1ビットストリーム仕様のコードを更新しました。#2261の実装の一部。

  - mkvmerge：AV1パケタイザー：最終的なAV1-in-MatroskaおよびWebMマッピング仕様のコードを更新しました。
    #2261の実装の一部。

  - mkvmerge：AV1サポート：「--engage enable_av1」オプションが再び削除されました。#2261の実装の一部。

  - mkvmerge：MP4リーダー：AV1のサポートを追加しました。#2261の実装の一部。

  - mkvmerge：DTS：拡張サブストリーム用のダイアログ正規化取得削除を実装しました。#2377を実装します。

  -mkvmerge、mkvextract：シンプルテキストサブタイトル：期間を含まないシンプルなテキストサブタイトルトラックの回避策を追加しました。#2397を実装します。

  - mkvextract：IVFにAV1を抽出するサポートを追加しました。
    #2261の実装の一部。

  - mkvextract：IVFエクストラクター（AV1、VP8、VP9）：トラックのデフォルトの継続時間の特定のよく知られた値について、正確な値がフレームレートの分数と分点のヘッダーフィールドに使用されます。

  - mkvmerge：VP9：mkvmergeは、WebM仕様で説明されているVP9コーデックマッピングにしたがって、コーデックプライベートデータを作成するようになりました。#2379を実装します。

  - MKVToolNix GUI：GUIがQt以上でコンパイルされている場合、高DPIディスプレイの自動スケーリングが有効になっています 5.6.0。
    #1996および#2383を修正します。

  - MKVToolNix GUI：デバッグを容易にするために、MKVToolNixが実行されているシステムに関する情報を表示するためのメニュー項目（「ヘルプ」→「システム情報」）を追加しました。

  - MKVToolNix GUI：マルチプレクサー、ヘッダーエディター：ユーザーは環境設定で事前に定義されたトラック名のリストを入力できます。後で「track name」コンボボックスでそれらから選択できます。実装します #2230。

## バグ修正

  - mkvmerge：JSONの識別：JSONとして出力される前に文字列から無効なUTF-8データを削除する際のバグを修正しました。#2398 の修正。

  - mkvmerge：MP4/QuickTimeリーダー：FourCC「in24」でのPCMオーディオの処理を修正しました。#2391 の修正。

  - mkvmerge：MPEGトランスポートストリームリーダー、テレテキストのサブタイトル：次のフレームと潜在的にそれらをマージするためにフレームを維持するかどうかの決定が、より早く行われます。これにより、テレテキストのサブタイトルフレームの間に大きなギャップがある場合の問題が回避されます。これにより、フレームのインターリーブが遅すぎる可能性があります。
    #2393 の修正。

  - mkvextract：IVFエクストラクター（AV1、VP8、VP8）：フレームレートヘッダーフィールドが16ビットに適切に固定されず、特定の状況で誤ったフレームレートが書き込まれていました。

  -mkvpropedit、MKVToolNix GUIのヘッダーエディター：1バイトのスペースを新しいEBML void要素でカバーする必要があるが、周囲のすべての要素にすでに8バイト長の「サイズの長さ」フィールドがある場合の、ファイル破損を修正しました。
    #2406 の修正。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

**バージョン 1.3.8**

これは、Roundcube Webmailの安定版（stable）バージョン1.3を更新するサービスリリースです。これには、報告されたXSSの脆弱性に対するセキュリティの修正を含めたmasterブランチからバックポートされたいくつかのバグの修正が含まれています。さらに、PHP 7.3、Courier-IMAP、Dovecot、MySQL 8の最近のバージョンとの互換性を確保するための更新もあります。以下の完全な変更ログを参照してください。

**変更ログ**

  - Courier-IMAP 4.17.1のダミーQUOTA応答におけるPHP警告を修正します（#6374）

  - BINARYからBODY FETCHへのフォールバックがdovecot 2.3の[PARSE]エラーでも使用されるように修正します（#6383）

  - Enigma：認証サブキーを持つキーの削除を修正します（#6381）

  - PHP 7.3で警告をスローする無効な正規表現を修正します（#6398）

  - クラシックスキンスプリッタがウィンドウの外にエスケープしないように修正します（#6397）

  - 無効なスタイルタグのコンテンツを処理する際のXSSの問題を修正します（#6410）

  - MySQL 8との互換性を修正します-「system」テーブルの使用でのエラー

  - Managesieve：show_real_foldernamesの設定が尊重されないバグを修正します（#6422）

  - New_user_identity：ユーザー固有のLDAPパラメーターでの%fu/%u vars置換を修正します（#6419）

  -「x_frame_options」構成オプションの「allow-from <uri>」のサポートを修正します（#6449）

  - いくつかのケースでHTMLのコメント間の有効なコンテンツがスキップされた可能性のあるバグを修正しました（#6464）

  - 複数のVCardフィールド検索を修正します（#6466）

  - 長期実行リクエストでのセッション問題を修正します（#6470）

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

新しい1.5リリースに更新してください。

CVE-2018-14650を解決します

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

0.6.5

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

- 最新のUpstreamに更新してください（Firefox 63）

  - 更新済みのPipeWireサポート

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

最新のUpstreamバージョンに更新してください。

----

最新のUpstreamバージョンに更新してください

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

以下のためのセキュリティ修正 CVE-2018-14647

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

https://www.lighttpd.net/2018/10/14/1.4.51/

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

修正CVE-2016-10152（ハードコードされたDNSフォールバック）修正CVE-2016-10151（SUIDチェックの脆弱性）パッケージをautosetupに移動します解決：#1332509 解決：
#1332494

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リリース 1.5.3

セキュリティ：

  - CVE-2018-12543 を修正します。$で始まるが$SYSではないトピックを含むメッセージがMosquittoに送信されると、到達可能であるべきであるアサーションがトリガーされ、Mosquittoが終了します。

ブローカー：

  - ソケット制限に達した場合の状況に対して、ログレベルを警告に上げます。

  - スナップパッケージ構成ファイルで「user root」を使用するための要件を削除します。

  - 最初の接続で発信トピックのブリッジによって送信されない保存されたメッセージを修正します。

  - ドキュメント修正。

  - 古いクライアントが削除される前に重複クライアントがby_idハッシュに追加されるのを修正します。

  - include_dirにファイルが含まれていない場合に、Windowsのバージョンが起動しない問題を修正します。

ビルド：

  - 構築を容易にするためのさまざまな修正。

----

WITH_BUNDLED_DEPS=noを使用します

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

CVE-2018-6951とCVE-2018-6952のセキュリティ修正

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

「git clone
--recurse-submodules」で問題を解決するUpstreamセキュリティ更新。

[Upstreamリリース発表]（https://public-inbox.org/git/xmqqy3bcuy3l.fsf@gitster-ct .c.googlers.com/）から：

>これらのリリースでは、セキュリティ欠陥（CVE-2018-17456）が修正されます。この欠陥により、攻撃者が、--recurse-submodulesで複製されたプロジェクトで悪意のある .gitmodules >ファイルを細工することで、任意のコードを実行することが可能でした。> >「git clone --recurse-submodules 」を実行する場合、GitはURLフィールドに対して提供された> .gitmodulesファイルを解析し、それを引数として「git clone」サブプロセスに盲目的に渡します。URLフィールドがダッシュで始まる文字列に設定されている場合、この「git clone」サブプロセスはURLをオプションと解釈します。これにより、「git clone」を実行したユーザーとして、スーパープロジェクトで出荷される任意のスクリプトが実行される可能性があります。> >「clone」を実行しているユーザーのセキュリティ問題の修正に加えて、2.17.2、2.18.1、2.19.1リリースには「fsck」チェックがあり、これを利用して、プッシュのフェッチまたは受け入れを行う際に、このような悪意のあるリポジトリコンテンツを検出することが可能です。git-config(1)の「transfer.fsckObjects」を参照してください。> >この脆弱性の発見および修正は、それぞれjoernchenおよびJeff Kingに感謝の意を表します。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

0.7.6 に対処するために、バージョン CVE-2018-10933に更新してください。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

CVE-2018-11763のセキュリティ更新

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

ID	名前	深刻度
119291	Fedora 27：moodle（2018-4ec3eecd7f）	high
119245	Fedora 27：1: rubygem-rack（2018-5743ef02a1）	medium
119244	Fedora 27：rubygem-i18n（2018-4febd7f702）	high
119243	Fedora 27：rubygem-loofah（2018-4ce40afcb6）	medium
119159	Fedora 27：php-PHPMailer（2018-daee493feb）	high
119158	Fedora 27：kernel / kernel-headers / kernel-tools（2018-b68776e5b0）	medium
119157	Fedora 27：flatpak（2018-9b7d7a155b）	high
119156	Fedora 27：Community-mysql（2018-4ae94c8deb）	medium
119155	Fedora 27：php-phpmailer6（2018-46b92c9064）	high
119154	Fedora 27：3: mariadb（2018-192148f4ff）	critical
119129	Fedora 27：xen（2018-fe24359b69）	high
119128	Fedora 27：soundtouch（2018-dbe9da512d）	high
119127	Fedora 27：kio-extras（2018-50eceed44a）	high
119126	Fedora 27：libtiff（2018-399bce9f8f）	high
119108	Fedora 27：python-urllib3（2018-6b10449b15）	high
119107	Fedora 27：libconfuse（2018-291f75cf0f）	high
119106	Fedora 27：ruby（2018-190ecd2ef8）	critical
119055	Fedora 27：kde-connect（2018-5201a9c4dc）	high
119020	Fedora 27：Suricata（2018-d05860129f）	high
119019	Fedora 27：cabextract / libmspack（2018-c73d257297）	high
119009	Fedora 27 : 1:NetworkManager (2018-fc3018b1bd)	high
119008	Fedora 27：lldpad（2018-e9d1ec6dbc）	medium
119007	Fedora 27：pdns（2018-5a1e2759aa）	high
118960	Fedora 27：subscription-manager（2018-91ba32a0ff）	high
118941	Fedora 27：feh（2018-56ec0ccd82）	critical
118940	Fedora 27：python-requests（2018-41320b315a）	high
118899	Fedora 27：icecast（2018-f3d995c6a8）	high
118898	Fedora 27：xen（2018-f20a0cead5）	high
118897	Fedora 27：zchunk（2018-3236af7d00）	high
118896	Fedora 27：python33（2018-28ea2290ad）	high
118857	Fedora 27：rpm（2018-2c9120d494）	high
118843	Fedora 27：1: java-1.8.0-openjdk-aarch32（2018-cca64e06ba）	high
118842	Fedora 27：php-pear-CAS（2018-95695b59c7）	high
118841	Fedora 27：libgit2（2018-3448c8aec1）	high
118809	Fedora 27：mkvtoolnix（2018-8587111c5a）	high
118725	Fedora 27：roundcubemail（2018-d527206a77）	high
118581	Fedora 27：sos-collector（2018-f2f8571abd）	medium
118580	Fedora 27：teeworlds（2018-b24201fc50）	high
118579	Fedora 27：firefox（2018-343ab5abbd）	high
118475	Fedora 27：thunderbird（2018-7c235a496f）	high
118410	Fedora 27：python35（2018-a2c1453607）	high
118409	Fedora 27：python26（2018-14526cbebe）	high
118335	Fedora 27：lighttpd（2018-de6d032aae）	high
118334	Fedora 27：hesiod（2018-25c6d1b417）	critical
118314	Fedora 27：mosquitto（2018-a115b0b80e）	high
118245	Fedora 27：パッチ（2018-d547a126e7）	high
118244	Fedora 27：git（2018-d5139c4fd6）	critical
118243	Fedora 27：libssh（2018-bca1c1ab49）	critical
118242	Fedora 27：mod_http2（2018-bb9d24c82d）	medium
118241	Fedora 27：python2（2018-b6de5fc905）	high

検出

Nessus の Fedora Local Security Checks ファミリー

high

medium

high

medium

high

medium

high

medium

high

critical

high

high

high

high

high

high

critical

high

high

high

high

medium

high

high

critical

high

high

high

high

high

high

high

high

high

high

high

medium

high

high

high

high

high

high

critical

high

high

critical

critical

medium

high