Säkerhetsinformation / 2013 / Säkerhetsinformation -- DSA-2671-1 request-tracker4

Säkerhetsbulletin från Debian

DSA-2671-1 request-tracker4 -- flera sårbarheter

Rapporterat den:

2013-05-22

Berörda paket:

request-tracker4

Sårbara:

Ja

Referenser i säkerhetsdatabaser:

I Mitres CVE-förteckning: CVE-2012-4733, CVE-2013-3368, CVE-2013-3369, CVE-2013-3370, CVE-2013-3371, CVE-2013-3372, CVE-2013-3373, CVE-2013-3374.

Ytterligare information:

Flera sårbarheter har upptäckts i Request Tracker, ett utökningsbart spårningssystem för supportärenden. Projektet Common Vulnerabilities and Exposures identifierar följande problem:

• CVE-2012-4733

  En användare med rättighterna ModifyTicket kan gå förbi rättigheterna DeleteTicket eller alla anpassade livscykelsövergångsrättigheter och därmed modifiera ärendedata utan rättigheter.

• CVE-2013-3368

  Kommandoradsverktyget rt använder semi-förutsägbara temporära filer. En illasinnad användare kan använda detta problem för att skriva över filer med samma rättighter som användaren som kör rt-verktyget.

• CVE-2013-3369

  En illasinnad användare som är tillåten att se administrationssidor kan köra opålitliga Mason-komponenter (utan kontroll av argumenten), vilket kan ha negativa sidoeffekter.

• CVE-2013-3370

  Request Tracker tillåter direkta förfrågningar till privata callback-komponenter, vilket kan användas för att exploatera en utökning till Request Tracker eller en lokal callback som använder argumenten som skickades till den osäkert.

• CVE-2013-3371

  Request Tracker är sårbart för cross-site skriptattacker via bilagefilnamn.

• CVE-2013-3372

  Dominic Hargreaves upptäckte att Request Tracker är sårbart för en HTTP-rubrikinjektion begränsad till värdet av rubriken Content-Disposition.

• CVE-2013-3373

  Request Tracker är sårbart för en MIME-rubrikinjektion i utgående post genererad av Request Tracker.

  Problemen i Request Trackers stock-mallar är lösta av denna uppdatering. Men alla anpassade email-mallar bör uppdateras för att säkerställa att värden som läggs in i brevhuvuden inte innehåller nyrader.

• CVE-2013-3374

  Request Tracker är sårbart för begränsad sessionsåteranvändning vid användning av fil-baserade sessionslagringen, Apache::Session::File. Dock så är Request Tracker's standardinställda sessionskonfiguration inställd att endast använda Apache::Session::File när den är konfigurerad för Oracle-databaser.

Denna version av Request Tracker inkluderar en uppgradering av databas-innehållet. Om du använder en dbconfig-hanterad databas, så kommer du att erbjudas att tillämpa detta automatiskt. Annars bör du se förklaringen i /usr/share/doc/request-tracker4/NEWS.Debian.gz för de manuella stegen du bör ta.

Vänligen notera att om du kör request-tracker4 under webservern Apache, så måste du stoppa och starta Apache manuellt. restart-mekanismen rekommenderas inte, speciellt när du använder mod_perl eller någon form av beständiga Perl-processer som FastCGI eller SpeedyCGI.

För den stabila utgåvan (Wheezy) har dessa problem rättats i version 4.0.7-5+deb7u2.

För uttestningsutgåvan (Jessie), kommer dessa problem rättas inom kort.

För den instabila utgåvan (Sid) har dessa problem rättats i version 4.0.12-2.

Vi rekommenderar att ni uppgraderar era request-tracker4-paket.