Debians sikkerhedsbulletin

DSA-2480-4 request-tracker3.8 -- flere sårbarheder

Rapporteret den:
15. sep 2012
Berørte pakker:
request-tracker3.8
Sårbar:
Ja
Referencer i sikkerhedsdatabaser:
I Debians fejlsporingssystem: Fejl 674924, Fejl 675369.
I Mitres CVE-ordbog: CVE-2011-2082, CVE-2011-2083, CVE-2011-2084, CVE-2011-2085, CVE-2011-4458, CVE-2011-4459, CVE-2011-4460.
Yderligere oplysninger:

Flere sårbarheder blev opdaget i Request Tracker, et fejlsporingssystem:

  • CVE-2011-2082

    vulnerable-passwords-skripterne der blev indført på grund af CVE-2011-0009 kunne ikke korrigere adgangskodehashes hørende til deaktiverede brugere.

  • CVE-2011-2083

    Flere problemer i forbindelse med udførelse af skripter på tværs af websteder er blevet opdaget.

  • CVE-2011-2084

    Adgangskodehashes kunne blotlægges af priviligerede brugere.

  • CVE-2011-2085

    Flere problemer i forbindelse med forfalskning af forespørgsler på tværs af websteder er blevet opdaget. Hvis denne opdatering får din opsætning til at holde op med at virke, kan du gå tilbage til den gamle virkemåde ved at sætte $RestrictReferrer til 0.

  • CVE-2011-4458

    Koden til understøttelse af variable envelope-returstier muliggjorde udførelse af vilkårlig kode.

  • CVE-2011-4459

    Deaktiverede grupper blev ikke helt registreret som deaktiverede.

  • CVE-2011-4460

    SQL-indsprøjtningssårbarhed, som kun kan udnyttes af priviligerede brugere.

Bemærk, hvis du kører request-tracker3.8 under webserveren Apache, skal du stoppe og starte Apache manuelt. restart-mekanismen anbefales ikke, særlig ikke hvis man anvender mod_perl.

I den stabile distribution (squeeze), er disse problemer rettet i version 3.8.8-7+squeeze5.

I den ustabile distribution (sid), er disse problemer rettet i version 4.0.5-3.

Vi anbefaler at du opgraderer dine request-tracker3.8-pakker.