來自 Red Hat 安全性公告 2019:2512： 現已提供適用於 Red Hat Enterprise Linux 8 的 subversion:1.10 模組更新。 Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。 Subversion (SVN) 是並行版本控制系統，可讓一或多位使用者在開發及維護檔案與目錄階層時協同合作，同時保留所有變更的歷程記錄。 安全性修正： * subversion：在 svnserve 中的 NULL 指標解除參照會導致未經驗證的遠端 DoS (CVE-2019-0203) 如需安全性問題的詳細資料，包括影響、CVSS 分數、確認及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

在 Subversion (版本控制系統) 中發現數個弱點。Common Vulnerabilities and Exposures 專案發現下列問題：CVE-2018-11782 Ace Olszowka 報告當格式正確的唯讀要求產生特定答案時，Subversion 的 svnserve 伺服器處理程序可能會結束，進而導致拒絕服務。CVE-2019-0203 Tomas Bortoli 報告當用戶端傳送某些通訊協定命令序列時，Subversion 的 svnserve 伺服器處理程序可能會結束。如果伺服器設定為啟用匿名存取，則可能導致遠端未經驗證的拒絕服務。針對 Debian 8「Jessie」，這些問題已在 1.8.10-6~deb8u7 版本中修正。建議您升級 subversion 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 1.9.10、1.10.4、1.12.0 版及其之前所有的 Apache Subversion 版本中，Subversion 的 svnserve 伺服器處理程序可能會在格式正確的唯讀要求產生特定回覆時結束。這可能導致伺服器使用者中斷。(CVE-2018-11782) 在 1.9.10、1.10.4、1.12.0 及其之前所有的 Apache Subversion 版本中，Subversion 的 svnserve 伺服器處理程序可能會在用戶端傳送特定的通訊協定命令順序時結束。這可能導致伺服器使用者中斷。(CVE-2019-0203)。

安裝的 Subversion Server 版本是比 1.9.11 舊的版本、比 1.10.5 舊的 1.10.x 版、1.11.x 版或比 1.12.1 舊的 1.12.x 版，因此受到多個弱點影響：- Subversion 的 svnserve 伺服器處理程序中存在一個拒絕服務 (DoS) 弱點，這是因為當格式正確的唯讀要求產生特定回應時，處理程序可能會結束所致。經驗證的遠端攻擊者可惡意利用此問題，造成拒絕服務攻擊。(CVE-2018-11782) Subversion 的 svnserve 伺服器處理程序中存在一個拒絕服務 (DoS) 弱點，這是因為當用戶端傳送一連串的通訊協定命令時，處理程序可能會結束所致。如果在啟用匿名存取時設定伺服器，未經驗證的遠端攻擊者可惡意利用此問題，造成遠端拒絕服務攻擊。(CVE-2019-0203)

Ace Olszowka 發現 Subversion 未正確處理某些 svnserve 要求。遠端攻擊者可能利用此問題造成 svnserver 損毀，進而導致拒絕服務。
(CVE-2018-11782)

Tomas Bortoli 發現 Subversion 未正確處理某些 svnserve 要求。遠端攻擊者可能利用此問題造成 svnserver 損毀，進而導致拒絕服務。
(CVE-2019-0203)。

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Subversion (版本控制系統) 中發現數個弱點。Common Vulnerabilities and Exposures 專案發現下列問題：- CVE-2018-11782 Ace Olszowka 報告當格式正確的唯讀要求產生特定答案時，Subversion 的 svnserve 伺服器處理程序可能會結束，進而導致拒絕服務。- CVE-2019-0203 Tomas Bortoli 報告當用戶端傳送某些通訊協定命令序列時，Subversion 的 svnserve 伺服器處理程序可能會結束。如果伺服器設定為啟用匿名存取，則可能導致遠端未經驗證的拒絕服務。

現已提供適用於 Red Hat Enterprise Linux 8 的 subversion:1.10 模組更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Subversion (SVN) 是並行版本控制系統，可讓一或多位使用者在開發及維護檔案與目錄階層時協同合作，同時保留所有變更的歷程記錄。安全性修正：* subversion：svnserve 中發生 NULL 指標解除參照，進而導致未經驗證的遠端 DoS (CVE-2019-0203) 如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

遠端 Ubuntu 18.04 LTS/20.04 LTS 主機上安裝的套件受到 USN-5445-1 公告中所提及的多個弱點影響。

  在 1.9.10、1.10.4、1.12.0 版及其之前所有的 Apache Subversion 版本中，Subversion 的 svnserve 伺服器處理程序可能會在格式正確的唯讀要求產生特定回覆時結束。這可能導致伺服器使用者中斷。(CVE-2018-11782)

  - 在 Apache Subversion 1.9.10、1.10.4、1.12.0 及之前版本中，Subversion 的 svnserve 伺服器處理程序可能會在用戶端傳送特定的通訊協定命令順序時當機。這可能導致伺服器使用者中斷。(CVE-2019-0203)

  - 如果伺服器使用具有 AuthzSVNReposRelativeAccessFile 選項的存放庫內 authz 規則，且用戶端傳送非現有存放庫 URL 的要求，則 Subversion 的 mod_authz_svn 模組會損毀。
    這可能導致服務使用者中斷。此問題已在 mod_dav_svn+mod_authz_svn 伺服器 1.14.1 和 mod_dav_svn+mod_authz_svn 伺服器 1.10.7 中得到修正 (CVE-2020-17525)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

ID	名稱	產品	系列	已發布	已更新	嚴重性
127984	Oracle Linux 8 : subversion:1.10 (ELSA-2019-2512)	Nessus	Oracle Linux Local Security Checks	2019/8/20	2024/5/2	high
128395	Debian DLA-1903-1：subversion 安全性更新	Nessus	Debian Local Security Checks	2019/8/30	2024/4/30	high
130610	Amazon Linux AMI：subversion (ALAS-2019-1317)	Nessus	Amazon Linux Local Security Checks	2019/11/7	2024/4/15	high
127137	Apache Subversion < 1.9.11 / 1.10.x < 1.10.5 / 1.11.x / 1.12.x < 1.12.1 多個弱點	Nessus	Windows	2019/8/12	2021/6/3	high
127799	Ubuntu 16.04 LTS：Subversion 弱點 (USN-4082-1)	Nessus	Ubuntu Local Security Checks	2019/8/12	2023/10/20	high
127486	Debian DSA-4490-1：subversion - 安全性更新	Nessus	Debian Local Security Checks	2019/8/12	2024/5/7	high
127992	RHEL 8：subversion:1.10 (RHSA-2019:2512)	Nessus	Red Hat Local Security Checks	2019/8/20	2024/4/27	high
161576	Ubuntu 18.04 LTS / 20.04 LTS：Subversion 弱點 (USN-5445-1)	Nessus	Ubuntu Local Security Checks	2022/5/26	2023/7/10	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high