已在可扩展故障票证跟踪系统 Request Tracker 中发现多种漏洞。通用漏洞和暴露计划识别以下问题：

CVE-2014-9472

Christian Loos 发现远程拒绝服务漏洞，可通过电子邮件网关利用此漏洞，并影响接受来自不受信任来源的邮件的任何安装。根据 RT 的日志记录配置，远程攻击者可利用此缺陷造成 CPU 和过度磁盘使用。

CVE-2015-1165

Christian Loos 发现信息泄露缺陷，该缺陷可暴露 RSS 源 URL 和票证数据。

CVE-2015-1464

已发现可以利用 RSS 源 URL 来执行会话劫持，允许使用该 URL 的用户以创建该源的用户的身份登录。

对于旧稳定发行版本 (squeeze)，已在版本 3.8.8-7+squeeze9 中修复这些问题。

我们建议您升级 request-tracker3.8 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

检测

Debian DLA-158-1：request-tracker3.8 安全更新

high Nessus 插件 ID 82141

未找到变更日志