Javier Moreno discovered a vulnerability in Sympa web interface that can cause denial of service (DoS) attack.

By submitting requests with malformed parameters, this flaw allows to create junk files in Sympa's directory for temporary files. And particularly by tampering token to prevent CSRF, it allows to originate exessive notification messages to listmasters.

Several vulnerabilities were discovered in Sympa, a mailing list manager, which could result in local privilege escalation, denial of service or unauthorized access via the SOAP API.

Additionally to mitigate CVE-2020-26880 the sympa_newaliases-wrapper is no longer installed setuid root by default. A new Debconf question is introduced to allow setuid installations in setups where it is needed.

Update to sympa 6.2.54 :

  - Fixes CVE-2020-9369

  - See     https://sympa-community.github.io/security/2020-001.html     for details

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

sympa 6.2.54への更新：

  - CVE-2020-9369を修正します

  - 詳細については、https://sympa-community.github.io/security/2020-001.htmlforを参照してください。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Javier Moreno氏は、Sympa Webインターフェイスに、サービス拒否（DoS）攻撃を引き起こす可能性のある脆弱性を発見しました。

無効な形式のパラメーターでリクエストを送信することで、この欠陥により、一時ファイル用にSympaのディレクトリにジャンクファイルが作成される可能性があります。また、特にCSRFを防ぐためにトークンを改ざんすることで、過剰な通知メッセージをlistmasterに発信する可能性があります。

メーリングリストマネージャであるSympaで複数の脆弱性が発見されました。これにより、ローカルの権限昇格、サービス拒否、またはSOAP API経由の不正アクセスが発生する可能性があります。

さらに、CVE-2020-26880を緩和するため、sympa_newaliases-wrapperはデフォルトではsetuid rootをインストールしていません。新しいDebconfの質問が導入され、必要に応じてセットアップでsetuidをインストールできるようになりました。

在邮件列表管理器 Sympa 中发现多个漏洞，这些漏可通过 SOAP API 导致本地特权提升、拒绝服务或未经授权的访问。

此外，为了缓解 CVE-2020-26880，sympa_newaliases-wrapper 默认不再安装 setuid root。它引入了一个新的 Debconf 问题，以允许在设置（需要时）中进行 setuid 安装。

在 Sympa (一個郵寄清單管理員 ) 中發現數個弱點，可導致本機權限提升、拒絕服務或透過 OAP API 進行未經授權存取。

此外，為了減輕 CVE-2020-26880 的問題，sympa_newaliases-wrapper 不再預設為安裝 setuid root。引入了一個新的 Debconf 問題，允許在需要時安裝 setuid。

ID	名稱	產品	系列	已發布	已更新	嚴重性
136941	FreeBSD : sympa -- Denial of service caused by malformed CSRF token (9908a1cc-35ad-424d-be0b-7e56abd5931a)	Nessus	FreeBSD Local Security Checks	2020/5/28	2024/3/8	high
144594	Debian DSA-4818-1 : sympa - security update	Nessus	Debian Local Security Checks	2020/12/24	2024/1/31	high
134463	Fedora 30 : sympa (2020-bb5aa250c9)	Nessus	Fedora Local Security Checks	2020/3/13	2024/3/22	high
134459	Fedora 31：sympa（2020-79516cb689）	Nessus	Fedora Local Security Checks	2020/3/13	2024/3/22	high
136941	FreeBSD：sympa -- 無効な形式のCSRFトークンによって引き起こされるサービス拒否（9908a1cc-35ad-424d-be0b-7e56abd5931a）	Nessus	FreeBSD Local Security Checks	2020/5/28	2024/3/8	high
134459	Fedora 31 : sympa (2020-79516cb689)	Nessus	Fedora Local Security Checks	2020/3/13	2024/3/22	high
134463	Fedora 30：sympa（2020-bb5aa250c9）	Nessus	Fedora Local Security Checks	2020/3/13	2024/3/22	high
144594	DebianDSA-4818-1：sympa - セキュリティ更新	Nessus	Debian Local Security Checks	2020/12/24	2024/1/31	high
144594	Debian DSA-4818-1：sympa - 安全更新	Nessus	Debian Local Security Checks	2020/12/24	2024/1/31	high
144594	Debian DSA-4818-1：sympa - 安全性更新	Nessus	Debian Local Security Checks	2020/12/24	2024/1/31	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high