该更新包括 Apache Subversion 1.7 的最新稳定版本，即版本 1.7.14。包括两个安全补丁：

mod_dontdothat 允许用户针对存储库中的某些路径阻止更新 REPORT 请求。预期 REPORT 请求中的路径为绝对 URL。在许多情况下，基于 Serf 的客户端发送相对 URL，而不是绝对 URL。因此，这些客户端不会因 mod_dontdothat 的配置而阻断。(CVE-2013-4505)

通过“SVNAutoversioning on”启用 SVNAutoversioning 后，可使用 MKCOL 和 PUT 等单个 HTTP 请求进行提交。如果在启用断言的情况下构建 Subversion，具有非标准 URL（如包含尾部 / 的 URL）的任何此类请求可触发断言。断言将导致 Apache 进程中止。
(CVE-2013-4558)

此更新中包含的其他缺陷补丁如下：

客户端及服务器端缺陷补丁：

- 修复格式为“file://./”的 URL 上的断言

客户端缺陷补丁：

- 升级：修复用于 pre-1.3 wcs 时的断言

- 修复指向重定向位置的外部项

- diff：修复在某些情况下变更的错误计算

- diff：修复添加或删除目标的错误

服务器端缺陷补丁：

- mod_dav_svn：阻止通过某些第三方模块造成的崩溃

- 修复在线程服务器启动时并发请求上的 OOM

- fsfs：限制包含深层变更历史记录的文件的提交时间

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

检测

Fedora 18：subversion-1.7.14-1.fc18 (2013-22313)

low Nessus 插件 ID 71327

未找到变更日志