この更新は、subversion での次の問題を修正します：

- bnc#850747：1.7.14 に更新します

CVE-2013-4505：mod_dontdothat により、serf クライアントからのリクエストは制限されません。

- CVE-2013-4558： mod_dav_svn アサーションが autoversioning コミットにより引き起こされます。

+ クライアント側とサーバー側のバグ修正：

- 「file://./」形式の URL でのアサーションの修正

+ クライアント側のバグ修正：

- アップグレード：pre-1.3 wcs で使用されたときのアサーションを修正

- リダイレクトされた場所を指し示す外部を修正

- diff：場合により変更の誤った計算を修正

- diff：追加/削除したターゲットのエラーを修正

+ サーバー側のバグ修正：

- mod_dav_svn：一部のサードパーティのモジュールとのクラッシュを回避

- スレッド化されたサーバーの開始時の同時リクエストの OOM を修正

- fsfs：深い変更履歴でファイルのコミットタイムを制限

- mod_dav_svn：パスを適切に正規化します

+ その他のツール改善およびバグ修正：

- mod_dontdothat：uri パーサーを修正します

+ 開発者の目に見える変更：

- javahl：streamFileContent メソッドのパスを正規化

+ 回帰テストを実行する際には、python-sqlite が必要

Subversion プロジェクトによる報告：

mod_dontdothat により、serf ベースのクライアントからのリクエストは制限されません。

mod_dontdothat により、ユーザーはリポジトリでの特定のパスに対する更新 REPORT リクエストをブロックできます。REPORT リクエストでのパスは、絶対 URL であることが期待されています。Serf ベースのクライアントは、多くの場合、絶対 URL ではなく相対 URL を送信します。その結果、これらのクライアントは、mod_dontdothat により構成されているため、ブロックされません。

自動バージョン化コミットで非標準の URL により引き起こされる mod_dav_svn アサーション 

SVNAutoversioning を通じて SVNAutoversioning が有効化されている場合、MKCOL や PUT などの単独の HTTP リクエストでコミットが可能です。アサーションが有効な状態で Subversion が構築されると、非標準な URL （終端に / がある URL など）があるリクエストが、アサートを発生させる可能性があります。アサーションにより、Apache プロセスが中止されます。

この更新は、以下のサブバージョンの問題を修正します（CVE-2013-4505、CVE-2013-4558）：

- bnc#850747：1.8.5 に更新します

CVE-2013-4505：mod_dontdothat により、serf クライアントからのリクエストは制限されません。

- CVE-2013-4558： mod_dav_svn アサーションが autoversioning コミットにより引き起こされます。

+ クライアント側のバグ修正：

- リダイレクトされた場所を指し示す外部を修正

- diff：コピー内部での移動によるアサーションを修正します

+ サーバー側のバグ修正：

- mod_dav_svn：一部のサードパーティのモジュールとのクラッシュを回避

- mod_dav_svn：パスを適切に正規化します

- mod_authz_svn：無効な構成での mod_authz_svn のクラッシュを修正します

- hotcopy：パックされた repos で revprop ファイルを損失している hotcopy を修正します

+ その他のツール改善およびバグ修正：

- mod_dontdothat：uri パーサーを修正します

+ 開発者の目に見える変更：

- clang での「--enable-optimize」によるコンパイルを修正

- 破損した Zlib に対する構築時にテスト追加が失敗する

+ バインド：

- ctypes-python：configure により選択されたコンパイラでの構築

- 回帰テストを実行する際は、全てのターゲットに対して python-sqlite が必要です。暗黙的に取り込まれることはもはやありません

- 回帰テスト失敗時にエラーログを出力

- ppc/ppc64 アーキテクチャの回帰テストを修正。この回帰は openSUSE パッケージビルド内で見つかり、Upstream　開発者と共に修正されました

- 回帰テストを実行する場合、bdb バックエンドに対しても実行します

- キーリングを更新。全てのコミッターの代わりに、Subversion Project Management Committee キーリングを使用

サービス拒否の問題を修正する新しいsubversionパッケージが、Slackware 14.0、14.1および
最新版で利用可能です。

この更新には、Apache Subversion 1.7 の最新安定版（stable）リリースである、バージョン 1.7.14 が含まれています。2 つのセキュリティ修正が含まれます：

mod_dontdothat により、ユーザーはリポジトリでの特定のパスに対する更新 REPORT リクエストをブロックできます。REPORT リクエストでのパスは、絶対 URL であることが期待されています。Serf ベースのクライアントは、多くの場合、絶対 URL ではなく相対 URL を送信します。その結果、これらのクライアントは、mod_dontdothat により構成されているため、ブロックされません。(CVE-2013-4505)

「SVNAutoversioning on」により SVNAutoversioning が有効な場合、MKCOL や PUT などの単独の HTTP リクエストでコミットを行うことができます。アサーションが有効な状態で Subversion が構築されると、非標準な URL （終端に / がある URL など）があるリクエストが、アサートを発生させる可能性があります。アサーションにより、Apache プロセスが中止されます。
(CVE-2013-4558)

この更新では、以下のバグも修正されています：

クライアント側とサーバー側のバグ修正：

- 「file://./」形式の URL でのアサーションの修正

クライアント側のバグ修正：

- アップグレード：pre-1.3 wcs で使用されたときのアサーションを修正

- リダイレクトされた場所を指し示す外部を修正

- diff：場合により変更の誤った計算を修正

- diff：追加/削除したターゲットのエラーを修正

サーバー側のバグ修正：

- mod_dav_svn：一部のサードパーティのモジュールとのクラッシュを回避

- スレッド化されたサーバーの開始時の同時リクエストの OOM を修正

- fsfs：深い変更履歴でファイルのコミットタイムを制限

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

更新済み subversion パッケージは、次のセキュリティの脆弱性を修正します：

mod_dontdothat により、ユーザーはリポジトリでの特定のパスに対する更新 REPORT リクエストをブロックできます。REPORT リクエストでのパスは、絶対 URL であることが期待されています。Serf ベースのクライアントは、多くの場合、絶対 URL ではなく相対 URL を送信します。その結果、これらのクライアントは、mod_dontdothat により構成されているため、ブロックされません（CVE-2013-4505）。

SVNAutoversioning on を通じて SVNAutoversioning が有効化されている場合、MKCOL や PUT などの単独の HTTP リクエストでコミットが可能です。アサーションが有効な状態で Subversion が構築されると、非標準な URL （終端に / がある URL など）があるリクエストが、アサートを発生させる可能性があります。アサーションにより、Apache プロセスが中止されます（CVE-2013-4558）。

1.4.0 から 1.7.13および 1.8.0から 1.8.4の Apache Subversion の mod_dontdothat の is_this_legal 関数により、リモートの攻撃者が意図されるアクセス制限をバイパスし、REPORT リクエストで相対 URL を介してサービス拒否 (リソース消費) を引き起こす可能性があります。

1.7.11 から 1.7.13および 1.8.1から 1.8.4の Subversion の mod_dav_svn Apache HTTPD サーバーモジュールの中の repos.c の get_parent_resource 関数は、アサーションを有効にし、SVNAutoversioning を有効にしてビルドしたとき、リモートの攻撃者がリクエストの中の 非標準 URL を介して、サービス拒否 (アサーション失敗および Apache プロセス中止) を引き起こす可能性があります。これは、末尾に「/」を使用することで実証されています。

Subversion Server のインストールされているバージョンは、複数のサービス拒否の脆弱性の影響を受けます：

  - 「mod_dontdothat」モジュールと自己ベースクライアントから送信される関連の URL の処理に関連するエラーが存在します。（CVE-2013-4505）

  - 「mod_dav_svn」モジュールと詳細不明なリクエストの処理に関連するエラーが存在します。注意：この問題は、1.7.11 ～ 1.7.13 および 1.8.1 ～ 1.8.4 のバージョンを含む 1.7 と 1.8 のブランチにしか影響を与えないことが報告されています。（CVE-2013-4558）

この更新には、Apache Subversion 1.8 の最新安定版（stable）リリースである、バージョン 1.8.5 が含まれています。2 つのセキュリティ修正が含まれます：

mod_dontdothat により、ユーザーはリポジトリでの特定のパスに対する更新 REPORT リクエストをブロックできます。REPORT リクエストでのパスは、絶対 URL であることが期待されています。Serf ベースのクライアントは、多くの場合、絶対 URL ではなく相対 URL を送信します。その結果、これらのクライアントは、mod_dontdothat により構成されているため、ブロックされません。（CVE-2013-4505）

「SVNAutoversioning on」により SVNAutoversioning が有効な場合、MKCOL や PUT などの単独の HTTP リクエストでコミットを行うことができます。アサーションが有効な状態で Subversion が構築されると、非標準な URL （終端に / がある URL など）があるリクエストが、アサートを発生させる可能性があります。アサーションにより、Apache プロセスが中止されます。
（CVE-2013-4558）

この更新では、以下のその他のバグも修正されています：

クライアント側のバグ修正：

- リダイレクトされた場所を指し示す外部を修正

- diff：コピー内部での移動によるアサーションを修正します

サーバー側のバグ修正：

- mod_dav_svn：一部のサードパーティのモジュールとのクラッシュを回避

- mod_authz_svn：無効な構成での mod_authz_svn のクラッシュを修正します

- hotcopy：パックされた repos で revprop ファイルを損失している hotcopy を修正します

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
75226	openSUSE セキュリティ更新：subversion （openSUSE-SU-2013:1860-1）	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	low
71088	FreeBSD：subversion -- 複数の脆弱性（e3244a7b-5603-11e3-878d-20cf30e32f6d）	Nessus	FreeBSD Local Security Checks	2013/11/26	2021/1/6	low
75223	openSUSE セキュリティ更新：subversion （openSUSE-SU-2013:1836-1）	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	low
72731	Slackware 14.0/14.1/最新版: subversion（SSA：2014-058-01）	Nessus	Slackware Local Security Checks	2014/2/28	2021/1/14	medium
71327	Fedora 18 : subversion-1.7.14-1.fc18 （2013-22313）	Nessus	Fedora Local Security Checks	2013/12/11	2021/1/11	low
71508	Mandriva Linux セキュリティアドバイザリ：subversion（MDVSA-2013:288）	Nessus	Mandriva Local Security Checks	2013/12/18	2021/1/6	low
71581	Amazon Linux AMI：subversion (ALAS-2013-269)	Nessus	Amazon Linux Local Security Checks	2013/12/23	2018/4/18	low
71326	Fedora 19 : subversion-1.7.14-1.fc19 （2013-22208）	Nessus	Fedora Local Security Checks	2013/12/11	2021/1/11	low
71569	Apache Subversion 1.4.x - 1.7.13 / 1.8.x < 1.8.5 の複数の DoS	Nessus	Windows	2013/12/20	2018/7/30	low
71775	Fedora 20 : subversion-1.8.5-2.fc20 （2013-22575）	Nessus	Fedora Local Security Checks	2014/1/2	2021/1/11	low

検出

プラグインの検索

low

low

low

medium

low

low

low

low

low

low