已修复 CardDAV/CalDAV 服务器 radicale 中的两个漏洞。

- CVE-2015-8747（默认为未配置且无法在 Wheezy 中使用的）多重文件系统保存后端允许对任意文件进行读取和写入访问（仍需要运行 radicale 服务器所需的用户身份的 DAC 权限）。

- CVE-2015-8748 如果攻击者可用“.*”等用户名进行认证，便可绕过基于 regex 的规则实施的读取/写入限制，包括内置规则“owner_write”（所有人均可读取，日历所有者可写入）和“owner_only”（日历所有者可读取和写入）。

检测

Debian DSA-3462-1：radicale - 安全更新

critical Nessus 插件 ID 88497

未找到变更日志