Debians sikkerhedsbulletin

DSA-2567-1 request-tracker3.8 -- flere sårbarheder

Rapporteret den:
26. okt 2012
Berørte pakker:
request-tracker3.8
Sårbar:
Ja
Referencer i sikkerhedsdatabaser:
I Mitres CVE-ordbog: CVE-2012-4730, CVE-2012-4732, CVE-2012-4734, CVE-2012-4884, CVE-2012-6578, CVE-2012-6579, CVE-2012-6580, CVE-2012-6581.
Yderligere oplysninger:

Flere sårbarheder er opdaget i Request Tracker (RT), et problemsporingssystem.

  • CVE-2012-4730

    Autentificerede brugere kunne tilføje vilkårlige headere eller indhold til mails genereret af RT.

  • CVE-2012-4732

    En CSRF-sårbarhed kunne måske gøre det muligt for angribere at skifte sagsbogmærker.

  • CVE-2012-4734

    Hvis brugere fulgte en fabrikeret URI og loggede på RT, kunne de måske udløse handlinger, som under almindelige omstændigheder blokeres af logikken til forhindring af CSRF.

  • CVE-2012-6578, CVE-2012-6579, CVE-2012-6580, CVE-2012-6581

    Flere forskellige sårbarheder i GnuPG-behandlingen gjorde det muligt for angribere at få RT at signere udgående mails på ukorrekt vis.

  • CVE-2012-4884

    Hvis GnuPG-understøttelse er aktiveret, kunne autentificerede brugere oprette vilkårlige filer som webserverbrugeren, hvilket måske gjorde det muligt at udføre vilkårlig kode.

Bemærk, at hvis du kører request-tracker3.8 under webserveren Apache, så skal du stoppe og startte Apache manuelt. restart-mekanismen anbefales ikk, særligt når mod_perl anvendes.

I den stabile distribution (squeeze), er disse problemer rettet i version 3.8.8-7+squeeze6.

I den ustabile distribution (sid), er disse problemer rettet i version 4.0.7-2 af pakken request-tracker4.

Vi anbefaler at du opgraderer dine request-tracker3.8-pakker.