Debian DLA-1988-1：ampache 安全性更新

high Nessus Plugin ID 130773

語系：

概要

遠端 Debian 主機缺少一個安全性更新。

說明

在 Ampache (一種 Web 型音訊檔案管理系統) 中發現數個弱點。

CVE-2019-12385

localplay.php LocalPlay「新增執行個體」功能中存在一個已儲存的 XSS。插入的程式碼會反映在執行個體功能表中。
攻擊者可濫用此弱點，強制讓系統管理員建立一個新的有權限使用者，該使用者的憑證已為攻擊者所知。

CVE-2019-12386

搜尋引擎受到 SQL 插入的影響，因此任何能夠執行 lib/class/search.class.php 搜尋的使用者 (甚至來賓使用者) 都可以轉儲存資料庫中包含的任何資料 (工作階段、雜湊密碼等等)。如果結合 lostpassword 功能中使用的弱式密碼產生器演算法，這可導致系統管理員帳戶遭到完全入侵。

針對 Debian 8「Jessie」，已在 3.6-rzb2752+dfsg-5+deb8u1 版本中修正這些問題。

建議您升級 ampache 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。