DSA-4165-1 ldap-account-manager -- обновление безопасности

Низкая (0.0)

Debian

ldap-account-manager (any) ldap-account-manager-lamdaemon (any)

Михал Кедзиор обнаружил две уязвимости в LDAP Account Manager, веб-интерфейсе
для каталогов LDAP.

CVE-2018-8763
    Обнаруженный отражённый межсайтовый скриптинг (XSS) может позволить
    злоумышленнику выполнить код JavaScript в браузере жертвы или
    перенаправить её на вредоносный веб-сайт в случае, если жертва открывает
    специально сформированную ссылку.
CVE-2018-8764
    Приложение раскрывает CSRF-токен в URL, который используется злоумышленником
    для выполнения подделки межсайтовых запросов, когда жертва, выполнившая
    вход в LDAP Account Manager, может выполнять нежелательные действия
    в интерфейсе, открывая специально сформированную злоумышленником
    ссылку.

В предыдущем стабильном выпуске (jessie) эти проблемы были исправлены
в версии 4.7.1-1+deb8u1.
В стабильном выпуске (stretch) эти проблемы были исправлены в
версии 5.5-1+deb9u1.
Рекомендуется обновить пакеты ldap-account-manager.
С подробным статусом поддержки безопасности ldap-account-manager можно ознакомиться на
соответствующей странице отслеживания безопасности по адресу:
https://security-tracker.debian.org/tracker/ldap-account-manager">https://security-tracker.debian.org/tracker/ldap-account-manager">https://security-tracker.debian.org/tracker/ldap-account-manager

Проблема может быть решена обновлением операционной системыдо следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 9:
noarch:
ldap-account-manager - 5.5-1+deb9u1
ldap-account-manager-lamdaemon - 5.5-1+deb9u1
Debian GNU/Linux 8:
noarch:
ldap-account-manager - 4.7.1-1+deb8u1
ldap-account-manager-lamdaemon - 4.7.1-1+deb8u1

http://www.debian.org/security/dsa-4165/

Источник: CVE
Наименование: CVE-2018-8763
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-8763

Источник: CVE
Наименование: CVE-2018-8764
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-8764