Cố vấn bảo mật Debian
DSA-3298-1 jackrabbit -- cập nhật bảo mật
- Ngày báo cáo:
- 01 Th7 2015
- Gói chịu tác động:
- jackrabbit
- Có thể bị tấn công:
- Có
- Tham khảo cơ sở dữ liệu bảo mật:
- Trong từ điển CVE của Miter: CVE-2015-1833.
- Thêm thông tin:
-
Đã khám phá ra rằng bó Jackrabbit WebDAV dễ bị ảnh hưởng bởi kiểu tấn công XXE/XEE. Khi xử lý yêu cầu WebDAV phần thân có chứa XML, bộ phân tích XML có thể được chỉ thị để đọc nội dung từ nguồn mạng truy cập đến máy chủ, định nghĩa bởi lược đồ URI như là
http(s)
hayfile
. Tùy thuộc vào yêu cầu WebDAV, lỗi này không chỉ được dùng để làm sập bẫy yêu cầu mạng bên trong, mà còn có thể được dùng để chèn nội dung tiên đoán vào trong yêu cầu, tiềm tàng lộ nó với kẻ tấn công và những người khác.Với bản phân phối ổn định cũ (wheezy), lỗi này đã được sửa trong phiên bản 2.3.6-1+deb7u1.
Với bản phân phối ổn định (jessie), lỗi này đã được sửa trong phiên bản 2.3.6-1+deb8u1.
Với bản phân phối thử nghiệm (stretch), lỗi này được sửa trong phiên bản 2.10.1-1.
Với bản phân phối chưa ổn định (sid), lỗi này đã được sửa trong phiên bản 2.10.1-1.
Chúng tôi khuyên bạn nên nâng cấp các gói jackrabbit của mình.