この更新には、最新安定版の _Apache Subversion_、バージョン **1.14.1** が含まれています。このリリースには、Subversion mod_authz_svnにおけるリモートの認証されていないサービス拒否である「CVE-2020-17525」の修正が含まれています。

「CVE-2020-17525」の完全なUpstreamのセキュリティアドバイザリは次で入手できます： https://subversion.apache.org/security/CVE-2020-17525-advisory.txt

### ユーザーの目に見える変更：#### クライアント側の改善とバグ修正：

  - mergeinfoの非決定性生成を修正します（問題[SVN-4862]（https://issues.apache.org/jira/browse/SVN-4862））

  - 継承不可のmergeinfoでフォルダを削除するmergeを修正します（問題[SVN-4859]（https://issues.apache.org/jira/browse/SVN-4859））

  - -vをサポートしないコマンドに対しては--help-vを推奨しません 

  - 作業コピーアップグレードシステムでの無効なSQLの引用を修正します 

  - 人が読み取れるファイルサイズのフォーマット問題を修正します 

  - svnmuccからのエラーメッセージを改善します 

  -「svn info --xml」が競合の誤った「source-right」を与える問題（問題[SVN-4869]（https://issues.apache.org/jira/browse/SVN-4869））を修正します

  - エディターのファイル名をUTF-8からロケールのエンコーディングに変換します####サーバー側の改善とバグ修正：

  - authzがグローバルルールとリポジトリルールを結合しない問題を修正します（問題[SVN-4762]（https://issues.apache.org/jira/browse/SVN-4762））

  - hot-backup.pyスクリプトをPython 3で動作させます 

  - FSFSの初期化されていない読み取りを修正します 

  - mailer.pyをPython 3で適切に動作させます 

  - 構成ファイルパーサーの潜在的なNULLデリファレンスを修正します

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートの CentOS Linux 8 ホストには、CESA-2021:0507 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - subversion: mod_authz_svn におけるリモートの認証されていないサービス拒否 (CVE-2020-17525)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのRocky Linux 8ホストには、RLSA-2021:0507アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - サーバーが AuthzSVNReposRelativeAccessFile オプションでリポジトリ内の authz ルールを使用しており、クライアントが存在しないリポジトリ URL に対してリクエストを送信すると、Subversion の mod_authz_svn モジュールがクラッシュします。
    これによりサービスのユーザーは利用できなくなる可能性がありますこの問題は、mod_dav_svn+mod_authz_svn サーバー 1.14.1 および mod_dav_svn+mod_authz_svn サーバー 1.10.7 で修正されました (CVE-2020-17525)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

The remote Ubuntu 16.04 ESM host has packages installed that are affected by a vulnerability as referenced in the USN-5322-1 advisory.

    Thomas Akesson discovered that Subversion incorrectly handled certain inputs. An attacker could possibly     use this issue to cause a denial of service.

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Fedora 33 host has a package installed that is affected by a vulnerability as referenced in the FEDORA-2021-a3a0273cb2 advisory.

  - Subversion's mod_authz_svn module will crash if the server is using in-repository authz rules with the     AuthzSVNReposRelativeAccessFile option and a client sends a request for a non-existing repository URL.
    This can lead to disruption for users of the service. This issue was fixed in mod_dav_svn+mod_authz_svn     servers 1.14.1 and mod_dav_svn+mod_authz_svn servers 1.10.7 (CVE-2020-17525)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote CentOS Linux 8 host has packages installed that are affected by a vulnerability as referenced in the CESA-2021:0507 advisory.

  - subversion: Remote unauthenticated denial of service in mod_authz_svn (CVE-2020-17525)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Oracle Linux 8 host has packages installed that are affected by a vulnerability as referenced in the ELSA-2021-0507 advisory.

    subversion     [1.10.2-4]
    - add security fix for CVE-2020-17525

Tenable has extracted the preceding description block directly from the Oracle Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

An update of the subversion package has been released.

The remote Rocky Linux 8 host has packages installed that are affected by a vulnerability as referenced in the RLSA-2021:0507 advisory.

  - Subversion's mod_authz_svn module will crash if the server is using in-repository authz rules with the     AuthzSVNReposRelativeAccessFile option and a client sends a request for a non-existing repository URL.
    This can lead to disruption for users of the service. This issue was fixed in mod_dav_svn+mod_authz_svn     servers 1.14.1 and mod_dav_svn+mod_authz_svn servers 1.10.7 (CVE-2020-17525)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The version of Tencent Linux installed on the remote TencentOS Server 3 host is prior to tested version. It is, therefore, affected by multiple vulnerabilities as referenced in the TSSA-2022:0178 advisory.

    Package updates are available for TencentOS Server 3 that fix the following vulnerabilities:

    CVE-2022-24070:
    Subversion's mod_dav_svn is vulnerable to memory corruption. While looking up path-based authorization     rules, mod_dav_svn servers may attempt to use memory which has already been freed. Affected Subversion     mod_dav_svn servers 1.10.0 through 1.14.1 (inclusive). Servers that do not use mod_dav_svn are not     affected.
    CVE-2020-17525:
    Subversion's mod_authz_svn module will crash if the server is using in-repository authz rules with the     AuthzSVNReposRelativeAccessFile option and a client sends a request for a non-existing repository URL.
    This can lead to disruption for users of the service. This issue was fixed in mod_dav_svn+mod_authz_svn     servers 1.14.1 and mod_dav_svn+mod_authz_svn servers 1.10.7     CVE-2019-0203:
    In Apache Subversion versions up to and including 1.9.10, 1.10.4, 1.12.0, Subversion's svnserve server     process may exit when a client sends certain sequences of protocol commands. This can lead to disruption     for users of the server.

Tenable has extracted the preceding description block directly from the Tencent Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
146467	Fedora 33：subversion（2021-a3a0273cb2）	Nessus	Fedora Local Security Checks	2021/2/12	2024/10/11	high
146490	CentOS 8 : subversion:1.10（CESA-2021:0507）	Nessus	CentOS Local Security Checks	2021/2/15	2024/10/11	high
184826	Rocky Linux 8subversion:1.10RLSA-2021:0507	Nessus	Rocky Linux Local Security Checks	2023/11/7	2024/10/11	high
158866	Ubuntu 16.04 ESM : Subversion vulnerability (USN-5322-1)	Nessus	Ubuntu Local Security Checks	2022/3/12	2024/10/11	high
146467	Fedora 33 : subversion (2021-a3a0273cb2)	Nessus	Fedora Local Security Checks	2021/2/12	2024/10/11	high
146490	CentOS 8 : subversion:1.10 (CESA-2021:0507)	Nessus	CentOS Local Security Checks	2021/2/15	2024/10/11	high
146639	Oracle Linux 8 : subversion:1.10 (ELSA-2021-0507)	Nessus	Oracle Linux Local Security Checks	2021/2/20	2024/11/1	high
148291	Photon OS 3.0: Subversion PHSA-2021-3.0-0213	Nessus	PhotonOS Local Security Checks	2021/4/1	2025/8/22	high
148818	Photon OS 1.0: Subversion PHSA-2021-1.0-0379	Nessus	PhotonOS Local Security Checks	2021/4/20	2024/1/3	high
184826	Rocky Linux 8 : subversion:1.10 (RLSA-2021:0507)	Nessus	Rocky Linux Local Security Checks	2023/11/7	2024/10/11	high
239415	TencentOS Server 3: subversion (TSSA-2022:0178)	Nessus	Tencent Local Security Checks	2025/6/16	2025/12/5	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

high