重要な脆弱性情報 脆弱性の詳細 CVE-2012-4730: - 影響対象バージョン: 全バージョンのRT - 脆弱性の種類: メールヘッダーインジェクション攻撃 - 影響記述: ユーザーは ModifySelf または AdminUser を通じて、送信メールに任意のヘッダーまたはコンテンツを追加できます。これにより、情報漏洩やフィッシングのリスクが生じます。 CVE-2012-4731: - 影響対象バージョン: RT 4.0.0 以上、RTFM 2.0.0 以上 - 脆弱性の種類: 権限チェックの欠如 - 影響記述: いかなる特権ユーザーも、あらゆるクラスにチケット（記事）を作成することができます。 CVE-2012-4732: - 影響対象バージョン: CSRF 保護を有効にした RT の全バージョン（RT 3.8.12 以上、RT 4.0.6 以上） - 脆弱性の種類: CSRF（クロスサイトリクエストフォージェリ）脆弱性 - 影響記述: エラーにより、CSRF リクエストによってチケットの署名（ステータスラベル）が切り替えられる可能性があります。 CVE-2012-4734: - 影響対象バージョン: RT の全バージョン - 脆弱性の種類: スプーフィング（なりすまし）攻撃 - 影響記述: 未ログインのユーザーが攻撃者の malicious なリンクを踏むと、資格情報を入力するよう促されます。攻撃者はこの情報を利用して、任意のステータスを変更できます。 CVE-2012-4735: - 影響対象バージョン: RT 3.8.0 以上 - 脆弱性の種類: GnuPG による署名および暗号化メッセージの安全性不当 - 影響記述: 自動生成されたメッセージにおいて、真正性（認証性）の保証が提供されなくなる場合があります。 CVE-2012-4884: - 影響対象バージョン: RT 3.8.0 以上且つ GnuPG を有効にしている場合 - 脆弱性の種類: ユーザーがコマンドライン GnuPG クライアントに対して任意のパラメータを渡せる - 影響記述: この脆弱性を悪用すると、Web サーバーの権限で任意のファイルを作成できます。 解決策 本問題に対応するために、RT 3.8.15 および RT 4.0.8 がリリースされました。これらにはパッチバージョンとして RTFM 2.4.5 も含まれます。 すべての 3.8.x 版および 4.0.x 版に対応したパッチパッケージのダウンロードリンクが提供されています。 RT 3.6.x はサポート期間（ライフサイクル）が終了しており、パッチサポートは提供されません。