更新后的 abrt 和 libreport 程序包修复了三个安全问题，现在可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

ABRT（缺陷自动报告工具）用于帮助用户检测应用程序中的缺陷并创建缺陷报告，其中包含维护人员修复缺陷所需的全部信息。它使用插件系统扩展其功能。libreport 提供一个 API，用于向不同缺陷目标（如 Bugzilla、FTP 和 Trac）报告应用程序中的不同问题。

发现 ABRT 调试信息安装程序 (abrt-action-install-debuginfo-to-abrt-cache) 未以安全方式使用临时目录。本地攻击者可利用此缺陷作为 abrt 用户在任意位置创建符号链接与文件。(CVE-2015-5273)

已发现 ABRT 提供的内核调用 coredump 处理器在将 ABRT 程序的核心转储写入到 ABRT 转储目录 (/var/spool/abrt) 中时，未正确处理符号链接。具有 ABRT 问题目录写入权限的本地攻击者可利用此缺陷升级其权限。(CVE-2015-5287)

发现 ABRT 在报告崩溃时可能会向 Red Hat Bugzilla 暴露非预期信息。libreport 库中存在缺陷，导致其丢弃崩溃报告中包含的用户在文件中所做的更改。因此，Red Hat Bugzilla 附件可能会包含本不应公开的数据，包括主机名称、IP 地址或命令行选项。(CVE-2015-5302)

此缺陷不会影响在 Red Hat Enterprise Linux 上默认安装 ABRT，因其不会向 Red Hat Bugzilla 发布数据。但是，可以启用此功能，从而影响修改过的 ABRT 实例。

作为预防措施，Red Hat 已经识别由这些 ABRT 非默认 Red Hat Enterprise Linux 用户所提交的缺陷，并将其标记为私有。

Red Hat 在此感谢 Samsung 的 Philip Pettersson 报告 CVE-2015-5273 与 CVE-2015-5287 问题。CVE-2015-5302 问题由 Red Hat 的 Bastien Nocera 发现。

建议所有 abrt 和 libreport 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。

检测

RHEL 7：abrt 和 libreport (RHSA-2015:2505)

medium Nessus 插件 ID 87046

未找到变更日志