[users 13] [2015-001] Sympaセキュリティアドバイザリ (日本語)

[IKEDA Soji <(アドレスを隠しました)>]

[2015-001] Sympaセキュリティ・アドバイザリ

原文: 
https://www.sympa.org/security_advisories#security_breaches_in_newsletter_posting
※最新の情報は上記のページを参照ください。 

== 2015-001 ニューズレター投稿機能におけるセキュリティホール ==

=== 1. 影響 ===

サーバのファイルシステム中のファイルを送信できる。

=== 2. 影響を受けるシステム ===

Sympaのすべての安定版が影響を受けます。

  * 6.0ブランチの6.0.10より前の全バージョン。
  * 6.1ブランチの6.1.24より前の全バージョン。

=== 3. 概要 ===

Sympaのウェブインタフェースに、サーバのファイルシステム上のファイル
にアクセスできてしまう脆弱性が発見されました。

このセキュリティホールにより、Sympaソフトウェアの実行ユーザが読み取
り可能なサーバファイルシステム上の任意のファイルを、Sympaウェブイン
タフェースのニューズレター送信機能を使って、リストまたは利用者に送信
することができます。

=== 4. 対応策 ===

* 6.1ブランチ: 6.1.24版にアップグレード
  http://www.sympa.org/distribution/sympa-6.1.24.tar.gz
* 6.0ブランチ: 6.0.10版にアップグレード
  http://www.sympa.org/distribution/sympa-6.0.10.tar.gz

すぐに最新のバージョンにアップグレードできないユーザには、次の回避策
があります。ウェブインタフェースからのメール送信を停止する。

1. ''/home_sympa''/default/web_tt2/compose_mail.tt2 を
  ''/home_sympa''/etc/compose_mail.tt2 にコピーします。
2. このファイルの内容をコメントアウトします。
  - ファイルの最初に「<!--」を追加。
  - ファイルの最後に「-->」を追加。

テンプレートの構造をよく理解している方は、コメントアウトの範囲を
ニューズレター送信の部分だけに狭めることもできます。

★日本語訳訳注
  この回避策は完全なものではありません。最新のバージョンへのアップ
  グレードを強くお勧めします。
★日本語訳訳注終わり

以前のバージョンはもはや保守されません。古いバージョンをお使いの方
は、潜在的な脅威を避けるため、6.1.24か6.0.10にアップグレードするべき
です。

=== 5 - リンク ===

* http://sympa-ja.org/download/rhel/
  RHEL Sympaリポジトリ - Redhat系OSでのアップグレードに有用
* https://listes.renater.fr/sympa/arc/sympa-announce/2015-01/msg00001.html
  Sympa 6.0.10・6.1.24のアナウンス (英語)
* https://www.sympa.org/#sympa_6010_and_6124_released
  Sympaウェブサイトのリリースアナウンス (英語)

以上.