来自 Red Hat 安全公告 2015:2504：

更新后的 libreport 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

libreport 提供用于将应用程序中的不同问题报告给不同缺陷目标（如 Bugzilla、FTP 和 Trac）的 API。ABRT（缺陷自动报告工具）使用 libreport。

发现 ABRT 在报告崩溃时可能会向 Red Hat Bugzilla 暴露非预期信息。libreport 库中存在缺陷，导致其丢弃崩溃报告中包含的用户在文件中所做的更改。因此，Red Hat Bugzilla 附件可能会包含本不应公开的数据，包括主机名称、IP 地址或命令行选项。(CVE-2015-5302)

此缺陷不会影响在 Red Hat Enterprise Linux 上默认安装 ABRT，因其不会向 Red Hat Bugzilla 发布数据。但是，可以启用此功能，从而影响修改过的 ABRT 实例。

作为预防措施，Red Hat 已经识别由这些 ABRT 非默认 Red Hat Enterprise Linux 用户所提交的缺陷，并将其标记为私有。

此问题由 Red Hat 的 Bastien Nocera 发现。

建议所有 libreport 用户升级这些更新后的程序包，其中修正了此问题。

检测

Oracle Linux 6：libreport (ELSA-2015-2504)

medium Nessus 插件 ID 87042

未找到变更日志