Debian DSA-2671-1：request-tracker4 - 多个漏洞

medium Nessus 插件 ID 66547

语言：

简介

远程 Debian 主机缺少与安全相关的更新。

描述

已在可扩展故障票证跟踪系统 Request Tracker 中发现多种漏洞。通用漏洞和暴露计划识别以下问题：

- CVE-2012-4733 具有 ModifyTicket 权限的用户可绕过 DeleteTicket 权限或任何自定义生命周期过渡权限并因此在未经授权的情况下修改票证数据。

- CVE-2013-3368 rt 命令行工具使用半预测性临时文件。恶意用户可利用此缺陷以运行 rt 命令行工具的用户的权限覆盖文件。

- CVE-2013-3369 可查看管理页面的恶意用户可运行任意 Mason 组件（未控制参数），这可能产生负面影响。

- CVE-2013-3370 Request Tracker 允许直接请求隐私回调组件，这些组件可用于利用不安全使用传递参数的 Request Tracker 扩展或本地回调。

- CVE-2013-3371 Request Tracker 容易通过附件文件名遭受跨站脚本攻击。

- CVE-2013-3372 Dominic Hargreaves 发现 Request Tracker 容易受到被限制为 Content-Disposition 标头值的 HTTP 标头注入的影响。

- CVE-2013-3373 Request Tracker 容易受到 Request Tracker 生成的出站电子邮件中 MIME 标头注入的影响。

此更新已解决 Request Tracker 库存模板问题。但应更新任何自定义电子邮件模板，以确保插值到邮件标头中的值未包含换行符。

- CVE-2013-3374 当使用基于文件的会话存储 Apache::Session::File 时，Request Tracker 容易受到限制会话重用的影响。但是，当配置为 Oracle 数据库时，Request Tracker 的默认会话配置仅使用 Apache::Session::File。

此版本 Request Tracker 包含数据库内容升级。
如果您正使用 dbconfig-managed 数据库，可选择自动应用此更新。否则，请参阅 /usr/share/doc/request-tracker4/NEWS.Debian.gz 中的说明了解要执行的手动步骤。

请注意，如果在 Apache Web 服务器下运行 request-tracker4，则必须手动停止和启动 Apache。不建议使用“重新启动”机制，尤其当使用 mod_perl 或任何形式的持久 Perl 进程，如 FastCGI 或 SpeedyCGI 时。