Several vulnerabilities were discovered in Request Tracker, an issue tracking system :

  - CVE-2011-2082     The vulnerable-passwords scripts introduced for     CVE-2011-0009 failed to correct the password hashes of     disabled users.

  - CVE-2011-2083     Several cross-site scripting issues have been     discovered.

  - CVE-2011-2084     Password hashes could be disclosed by privileged users.

  - CVE-2011-2085     Several cross-site request forgery vulnerabilities have     been found. If this update breaks your setup, you can     restore the old behaviour by setting $RestrictReferrer     to 0.

  - CVE-2011-4458     The code to support variable envelope return paths     allowed the execution of arbitrary code.

  - CVE-2011-4459     Disabled groups were not fully accounted as disabled.

  - CVE-2011-4460     SQL injection vulnerability, only exploitable by     privileged users.

Please note that if you run request-tracker3.8 under the Apache web server, you must stop and start Apache manually. The 'restart' mechanism is not recommended, especially when using mod_perl.

BestPractical report :

Internal audits of the RT codebase have uncovered a number of security vulnerabilities in RT. We are releasing versions 3.8.12 and 4.0.6 to resolve these vulnerabilities, as well as patches which apply atop all released versions of 3.8 and 4.0.

The vulnerabilities addressed by 3.8.12, 4.0.6, and the below patches include the following :

The previously released tool to upgrade weak password hashes as part of CVE-2011-0009 was an incomplete fix and failed to upgrade passwords of disabled users.

RT versions 3.0 and above contain a number of cross-site scripting (XSS) vulnerabilities which allow an attacker to run JavaScript with the user's credentials. CVE-2011-2083 is assigned to this vulnerability.

RT versions 3.0 and above are vulnerable to multiple information disclosure vulnerabilities. This includes the ability for privileged users to expose users' previous password hashes -- this vulnerability is particularly dangerous given RT's weak hashing previous to the fix in CVE-2011-0009. A separate vulnerability allows privileged users to obtain correspondence history for any ticket in RT. CVE-2011-2084 is assigned to this vulnerability.

All publicly released versions of RT are vulnerable to cross-site request forgery (CSRF). CVE-2011-2085 is assigned to this vulnerability.

We have also added a separate configuration option ($RestrictLoginReferrer) to prevent login CSRF, a different class of CSRF attack.

RT versions 3.6.1 and above are vulnerable to a remote execution of code vulnerability if the optional VERP configuration options ($VERPPrefix and $VERPDomain) are enabled. RT 3.8.0 and higher are vulnerable to a limited remote execution of code which can be leveraged for privilege escalation. RT 4.0.0 and above contain a vulnerability in the global $DisallowExecuteCode option, allowing sufficiently privileged users to still execute code even if RT was configured to not allow it. CVE-2011-4458 is assigned to this set of vulnerabilities.

RT versions 3.0 and above may, under some circumstances, still respect rights that a user only has by way of a currently-disabled group.
CVE-2011-4459 is assigned to this vulnerability.

RT versions 2.0 and above are vulnerable to a SQL injection attack, which allow privileged users to obtain arbitrary information from the database. CVE-2011-4460 is assigned to this vulnerability.

According to its self-reported version number, the Best Practical Solutions Request Tracker (RT) running on the remote web server is version 3.x prior to 3.8.12 or version 4.x prior to 4.0.6. It is, therefore, potentially affected by the following vulnerabilities :

  - The 'vulnerable-passwords' script fails to update the     password-hash of disabled users, which could enable an     attacker to more easily determine plaintext passwords     using brute force methods. (CVE-2011-2082)

  - Multiple cross-site scripting vulnerabilities exist that     an attacker can utilize to execute script code with the     user's credentials. (CVE-2011-2083)

  - A remote, authenticated attacker can read the hashes of     former passwords and the ticket correspondence history     by accessing a privileged account. (CVE-2011-2084)

  - Multiple cross-site request forgery vulnerabilities     exist which a remote attacker can exploit to hijack user     authentication. (CVE-2011-2085)

  - A remote code execution vulnerability exists if the     optional VERP configuration options (VERPPrefix and     VERPDomain) are enabled. (CVE-2011-4458)

  - Groups are not properly disabled, allowing users in     disabled groups to gain escalated privileges.
    (CVE-2011-4459)

  - A remote, authenticated attacker can inject SQL commands     by utilizing access to a privileged account, allowing     the disclosure or manipulation of arbitrary data on the     back-end database. (CVE-2011-4460)

  - An unspecified vulnerability exists that allows remote     attackers to gain privileges or execute a restricted     amount of arbitrary code. (CVE-2011-5092)

  - The DisallowExecuteCode option is not properly     implemented and allows a remote, authenticated attacker     to bypass intended access restrictions and execute     arbitrary code by using access to a privileged account.
    (CVE-2011-5093)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

BestPractical の報告：

RT コードベースの内部監査では、RT での多数のセキュリティの脆弱性を対象にしていません。これらの脆弱性を解決するために、バージョン 3.8.12 および 4.0.6 をリリースしています。さらに、リリースされている 3.8 と 4.0 のすべてのバージョンに適用するパッチもリリースしています。

3.8.12、4.0.6、およびその前のパッチでは、次のような脆弱性に対応しました：

CVE-2011-0009 の一部として、脆弱なパスワードハッシュをアップグレードするために以前にリリースされたツールは、修正が不完全であり、無効にしたユーザーのパスワードをアップグレードすることに失敗していました。

バージョン 3.0 以降の RT には多数のクロスサイトスクリプティング（XSS）の脆弱性があるため、攻撃者は、ユーザーの認証情報で JavaScript を実行することができます。この脆弱性には、CVE-2011-2083 が割り当てられています。

バージョン 3.0 以降の RT は、複数の情報漏洩の脆弱性に脆弱です。これには、権限のあるユーザーが、ユーザーの以前のパスワードハッシュを公開できることも含まれています。CVE-2011-0009 での修正より前の RT の脆弱なハッシングを仮定すると、この脆弱性は特に危険です。ある個別の脆弱性により、権限のあるユーザーは、RT にあるどのチケットに対しても、関連する履歴を入手することができます。この脆弱性には、CVE-2011-2084 が割り当てられています。

一般にリリースされたどのバージョンの RT でも、クロスサイトリクエスト偽造（CSRF）に脆弱です。この脆弱性には、CVE-2011-2085 が割り当てられています。

別のクラスの CSRF 攻撃であるログインの CSRF を防ぐために、個別の構成オプション（$RestrictLoginReferrer）も追加しています。

バージョン 3.6.1 以降の RT は、VERP 構成オプション（$VERPPrefix および $VERPDomain）が有効な場合、リモートコードの実行の脆弱性に脆弱です。3.8.0 以降の RT は、制限されたリモートコードの実行の脆弱性に脆弱であるため、これを利用すれば、権限昇格が可能になります。4.0.0 以降の RT では、$DisallowExecuteCode グローバルオプションに脆弱性があるため、十分な権限のあるユーザーは、RT が許可しないように構成されていた場合でも、引き続きコードを実行することができます。この一連の脆弱性には、CVE-2011-4458 が割り当てられています。

バージョン 3.0 以降の RT は、ある状況では、現在無効なグループの代わりに、あるユーザーのみが所有している権利を引き続き順守します。
この脆弱性には、CVE-2011-4459 が割り当てられています。

バージョン 2.0 以降の RT は、SQL インジェクション攻撃に脆弱であるため、権限のあるユーザーは、データベースから任意の情報を入手することができます。この脆弱性には、CVE-2011-4460 が割り当てられています。

複数の脆弱性が、問題追跡システムの Request Tracker で発見されました。

- CVE-2011-2082 CVE-2011-0009 に導入されていた脆弱なパスワードスクリプトが、無効化されたユーザーのパスワードハッシュの修正に失敗していました。

- CVE-2011-2083 複数のクロスサイトスクリプティングの問題が発見されました。

- CVE-2011-2084 パスワードハッシュが権限のあるユーザーによって漏洩される可能性があります。

- CVE-2011-2085 複数のクロスサイトリクエスト偽造の脆弱性が発見されました。この更新がセットアップを中断させる場合、$RestrictReferrer を 0 に設定することで以前の動作に復元することができます。

- CVE-2011-4458 変数のエンベロープリターンパスをサポートするためのコードにより、任意のコードの実行が可能になっていました。

- CVE-2011-4459 無効化されたグループが、完全に無効化された状態としてみなされていませんでした。

- CVE-2011-4460 権限のあるユーザーのみが悪用可能な SQL インジェクションの脆弱性。

Apache Web サーバーで request-tracker3.8 を実行する場合は、 Apache を手動で停止して起動する必要があります。特に mod_perl を使用するときは、「再起動」メカニズムが推奨されません。

自己報告されたバージョン番号によると、リモート Web サーバーで実行している Best Practical Solutions Request Tracker（RT）は、バージョン 3.8.12 より前の 3.x またはバージョン 4.0.6 より前の 4.x です。このため、以下の脆弱性の影響を受ける可能性があります。

  -「vulnerable-passwords」スクリプトは、無効化されたユーザーのパスワードハッシュの更新に失敗するため、攻撃者が、ブルートフォースメソッドを使用して平文のパスワードを特定することが容易になる可能性があります。（CVE-2011-2082）

  - 複数のクロスサイトスクリプティングの脆弱性が存在するため、攻撃者がこれを利用して、ユーザーの認証情報でスクリプトコードを実行する可能性があります。（CVE-2011-2083）

  - 認証されたリモートの攻撃者が、権限のあるアカウントにアクセスすることにより、以前のパスワードとチケット対応履歴のハッシュを読み取る可能性があります。（CVE-2011-2084）

  - 複数のクロスサイトリクエスト偽造の脆弱性が存在し、リモートの攻撃者が、これを悪用して、ユーザー認証をハイジャックする可能性があります。（CVE-2011-2085）

  - 任意の VERP 構成オプション（VERPPrefix および VERPDomain）が有効な場合、リモートコードの実行の脆弱性が存在します。（CVE-2011-4458）

  - グループは適切に無効化されておらず、無効化されたグループのユーザーが、昇格された権限を取得する可能性があります。
    （CVE-2011-4459）

  - 認証されたリモートの攻撃者が、権限のあるアカウントへのアクセス権を利用して SQL コマンドを注入し、バックエンドデータベース上の任意のデータの漏洩または操作を引き起こす可能性があります。（CVE-2011-4460）

  - 詳細不明な脆弱性が存在し、リモートの攻撃者が権限を取得したり、制限された量の任意のコードを実行したりする可能性があります。（CVE-2011-5092）

  - DisallowExecuteCode オプションは適切に実装されておらず、これにより、認証されたリモートの攻撃者が、意図されたアクセス制限をバイパスし、権限のあるアカウントへのアクセス権を利用して、任意のコードを実行する可能性があります。
    （CVE-2011-5093）

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

BestPractical 報告：

RT 程式碼基底的內部稽核在 RT 中發現多個安全性弱點。我們即將發佈 3.8.12 和 4.0.6 版來解決這些弱點，並且提供以所有已發行之 3.8 和 4.0 版為套用基礎的修補程式。

已由 3.8.12、4.0.6 和下列修補程式解決的弱點包括如下：

先前為升級弱式密碼雜湊做為 CVE-2011-0009 的一部分而發佈的工具是一個不完整的修正，因此無法為已停用的使用者升級密碼。

RT 3.0 版和以上版本含有多個跨網站指令碼 (XSS) 弱點，這些弱點可讓攻擊者以使用者的認證，執行 JavaScript。CVE-2011-2083 已指派給此弱點。

RT 3.0 版和以上版本容易受到多個資訊洩漏弱點影響。這包括有權限的使用者洩漏使用者先前密碼雜湊的能力。假設是 CVE-2011-0009 修正前 RT 的弱式雜湊，此弱點特別危險。另一個弱點可讓有權限的使用者取得 RT 中任何票證的通信歷程記錄。CVE-2011-2084 已指派給此弱點。

所有公開發佈的 RT 版本都容易受到跨網站要求偽造 (CSRF) 影響。CVE-2011-2085 已指派給此弱點。

我們也已經新增另一個組態選項 ($RestrictLoginReferrer) 以防止登入 CSRF (另一種 CSRF 攻擊類別)。

如果啟用選用的 VERP 組態選項 ($VERPPrefix 和 $VERPDomain)，RT 3.6.1 版和以上版本容易受到一個遠端程式碼執行弱點影響。RT 3.8.0 和以上版本容易受到一個可用於權限提升的有限遠端程式碼執行弱點影響。RT 4.0.0 和以上版本在全域 $DisallowExecuteCode 選項中含有一個弱點，進而允許權限充足的使用者即使在 RT 設定為不允許執行程式碼時，仍然會執行。CVE-2011-4458 已指派給這組弱點。

在某些情況下，RT 3.0 和以上版本仍然會透過目前停用的群組，採用使用者僅有的權限。
CVE-2011-4459 已指派給此弱點。

RT 2.0 版和以上版本容易受到一個 SQL 插入攻擊影響，進而允許有權限的使用者從資料庫取得任意資訊。CVE-2011-4460 已指派給此弱點。

在要求追蹤器 (一種問題追蹤系統) 中發現數個弱點：

- CVE-2011-2082 針對 CVE-2011-0009 所引入的 vulnerable-passwords 指令碼，無法更正已停用之使用者的密碼雜湊。

- CVE-2011-2083 已發現數個跨網站指令碼問題。

- CVE-2011-2084 有權限的使用者可洩漏密碼雜湊。

- CVE-2011-2085 已發現數個跨網站要求偽造弱點。如果此更新損毀您的設定，您可藉由將 $RestrictReferrer 設定為 0，還原舊行為。

- CVE-2011-4458 支援變數信封傳回路徑的程式碼允許任意程式碼執行。

- CVE-2011-4459 未完全將已停用的群組視為已停用。

- CVE-2011-4460 只有有權限的使用者可惡意利用 SQL 插入弱點。

請注意，如果您在 Apache web 伺服器下執行 request-tracker3.8，您必需手動停止並啟動 Apache。不建議使用「重新啟動」機制，特別是當使用 mod_perl 時。

根據其自我報告的版本號碼，遠端 Web 伺服器上執行的 Best Practical 解決方案要求追蹤器 (RT) 版本為比 3.8.12 舊的 3.x 版，或比 4.0.6 舊的 4.x 版。因此可能受到以下弱點影響：

  -「vulnerable-passwords」指令碼未更新已停用之使用者的密碼雜湊，攻擊者可利用此問題，更容易地透過暴力密碼破解方法判斷純文字密碼。(CVE-2011-2082)

  - 存在多個跨網站指令碼弱點，攻擊者可利用這些弱點，以使用者的憑證執行指令碼。(CVE-2011-2083)

  - 經驗證的遠端攻擊者可存取設有權限的帳戶，從而讀取先前密碼的雜湊和票證通信歷程記錄。(CVE-2011-2084)

  - 存在多個跨網站要求偽造弱點，遠端攻擊者可利用這些弱點劫持使用者驗證。(CVE-2011-2085)

  - 若啟用了選用的 VERP 組態選項 (VERPPrefix 和 VERPDomain)，則存在遠端程式碼執行弱點。(CVE-2011-4458)

  - 群組未正確停用，導致已停用之群組中的使用者可取得提升的權限。
    (CVE-2011-4459)

  - 經過驗證的遠端攻擊者可利用設有權限的帳戶存取權插入 SQL 命令，從而允許洩漏或操控後端資料庫的任意資料。(CVE-2011-4460)

  - 存在一個不明弱點，遠端攻擊者可利用此弱點，取得權限或執行數量有限的任意程式碼。(CVE-2011-5092)

  - DisallowExecuteCode 選項未正確實作，其允許經過驗證的遠端攻擊者利用設有權限的帳戶存取權，繞過預定的存取限制並執行任意程式碼。
    (CVE-2011-5093)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

BestPractical 报告：

RT 代码库的内部审计已在 RT 中发现大量安全漏洞。我们要发布版本 3.8.12 和 4.0.6 以解决这些漏洞，以及适用于 3.8 和 4.0 的所有已发布版本的修补程序。

3.8.12、4.0.6 和下面的修补程序解决的漏洞包括：

以前作为 CVE-2011-0009 的一部分发布来升级弱密码哈希的工具是不完整的补丁，不能升级已禁用的用户的密码。

RT 3.0 及更高版本中包含大量跨站脚本 (XSS) 漏洞，允许攻击者以用户的凭据运行 JavaScript。为此漏洞分配了 CVE-2011-2083。

RT 3.0 及更高版本容易受到多种信息泄露漏洞的影响。这包括特权用户可泄露用户以前的密码哈希 -- 鉴于 CVE-2011-0009 中的补丁之前 RT 的弱哈希，此漏洞特别危险。特权用户可利用一个单独的漏洞获取 RT 中任何票证的相应历史记录。为此漏洞分配了 CVE-2011-2084。

所有公开发布的 RT 版本都容易受到跨站请求伪造 (CSRF) 的影响。为此漏洞分配了 CVE-2011-2085。

我们还添加了一个单独的配置选项 ($RestrictLoginReferrer) 来阻止登录 CSRF（CSRF 攻击的不同类）。

如果启用了可选的 VERP 配置选项（$VERPPrefix 和 $VERPDomain），RT 3.6.1 及更高版本容易受到远程代码执行漏洞的影响。RT 3.8.0 及更高版本容易受到有限远程代码执行的影响，可利用后者升级权限。RT 4.0.0 及更高版本的 $DisallowExecuteCode 全局选项中包含一个漏洞，即使 RT 配置为不允许执行代码，权限足够的用户仍然可利用此漏洞执行。为这组漏洞分配了 CVE-2011-4458。

在某些情况下，RT 3.0 及更高版本仍然可以遵守用户只能通过当前禁用的组拥有的权限。
为此漏洞分配了 CVE-2011-4459。

RT 2.0 及更高版本容易受到 SQL 注入攻击的影响，这允许特权用户从数据库获取任意信息。为此漏洞分配了 CVE-2011-4460。

在问题跟踪系统 Request Tracker 中发现多个漏洞：

- CVE-2011-2082 针对 CVE-2011-0009 引入的易受攻击密码脚本无法修正禁用用户的密码哈希。

- CVE-2011-2083 已发现多个跨站脚本问题。

- CVE-2011-2084 特权用户可泄露密码哈希。

- CVE-2011-2085 已发现多个跨站请求伪造漏洞。如果此更新中断您的设置，您可通过将 $RestrictReferrer 设置为 0 来还原旧行为。

- CVE-2011-4458 支持可变 envelope 返回路径的代码允许执行任意代码。

- CVE-2011-4459 禁用的群组并未完全被视为已禁用。

- CVE-2011-4460 SQL 注入漏洞，仅特权用户可利用。

请注意，如果在 Apache Web 服务器下运行 request-tracker3.8，则必须手动停止和启动 Apache。不建议使用“重新启动”机制，尤其当使用 mod_perl 时。

根据其自我报告的版本号，在远程 Web 服务器上运行的 Request Tracker (RT) 最佳实用解决方案是版本 3.8.12 之前的版本 3.x，或版本 4.0.6 之前的版本 4.x。因此，它可能会受到以下漏洞的影响：

  - “vulnerable-passwords”脚本未能更新已禁用用户的密码哈希，这可使攻击者能够更容易地使用暴力破解方法确定明文密码。(CVE-2011-2082)

  - 存在多个跨站脚本漏洞，攻击者可利用这些漏洞以用户的凭据执行脚本代码。(CVE-2011-2083)

  - 经过身份验证的远程攻击者可通过访问特权帐户，读取以前密码的哈希和票证通信历史记录。(CVE-2011-2084)

  - 存在多个跨站请求伪造漏洞，远程攻击者可利用此漏洞劫持用户认证。(CVE-2011-2085)

  - 如果启用可选 VERP 配置选项（VERPPrefix 和 VERPDomain），则存在一个远程代码执行漏洞。(CVE-2011-4458)

  - 未正确禁用群组，这允许被禁用群组中的用户获取升级的权限。
    (CVE-2011-4459)

  - 经过身份验证的远程攻击者可通过利用对特权帐户的访问权限注入 SQL 命令，从而允许泄露或操纵后端数据库中的任意数据。(CVE-2011-4460)

  - 存在不明漏洞，允许远程攻击者获取权限或执行有限数量的任意代码。(CVE-2011-5092)

  - 未正确实现 DisallowExecuteCode 选项，并且该选项允许经过认证的远程攻击者绕过预期访问限制并利用对特权帐户的访问权限执行任意代码。
    (CVE-2011-5093)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。

ID	Name	Product	Family	Published	Updated	Severity
59758	Debian DSA-2480-4 : request-tracker3.8 - several vulnerabilities	Nessus	Debian Local Security Checks	6/29/2012	1/11/2021	medium
59283	FreeBSD : RT -- Multiple Vulnerabilities (e0a969e4-a512-11e1-90b4-e0cb4e266481)	Nessus	FreeBSD Local Security Checks	5/29/2012	1/6/2021	medium
61434	Request Tracker 3.x < 3.8.12 / 4.x < 4.0.6 Multiple Vulnerabilities	Nessus	CGI abuses	8/6/2012	4/11/2022	high
59283	FreeBSD：RT -- 複数の脆弱性（e0a969e4-a512-11e1-90b4-e0cb4e266481）	Nessus	FreeBSD Local Security Checks	5/29/2012	1/6/2021	medium
59758	Debian DSA-2480-4：request-tracker3.8 - いくつかの脆弱性	Nessus	Debian Local Security Checks	6/29/2012	1/11/2021	medium
61434	Request Tracker 3.x < 3.8.12 / 4.x < 4.0.6 複数の脆弱性	Nessus	CGI abuses	8/6/2012	4/11/2022	high
59283	FreeBSD：RT -- 多個弱點 (e0a969e4-a512-11e1-90b4-e0cb4e266481)	Nessus	FreeBSD Local Security Checks	5/29/2012	1/6/2021	medium
59758	Debian DSA-2480-4 : request-tracker3.8 - 多個弱點	Nessus	Debian Local Security Checks	6/29/2012	1/11/2021	medium
61434	要求追蹤器 3.x < 3.8.12 / 4.x < 4.0.6 多個弱點	Nessus	CGI abuses	8/6/2012	4/11/2022	high
59283	FreeBSD：RT -- 多种漏洞 (e0a969e4-a512-11e1-90b4-e0cb4e266481)	Nessus	FreeBSD Local Security Checks	5/29/2012	1/6/2021	medium
59758	Debian DSA-2480-4：request-tracker3.8 - 多个漏洞	Nessus	Debian Local Security Checks	6/29/2012	1/11/2021	medium
61434	Request Tracker 3.x < 3.8.12 / 4.x < 4.0.6 多种漏洞	Nessus	CGI abuses	8/6/2012	4/11/2022	high

Detections

Analytics

Plugins Search

medium

medium

high

medium

medium

high

medium

medium

high

medium

medium

high