リポジトリブラウザのセキュリティホールについて

影響するバージョン

TracLightningのリポジトリブラウザでは、ユーザ/グループ毎にリポジトリの各ディレクトリへのアクセス制御ができるようになっています。しかしながら、TracLightning2.4.2以前のバージョンでは、複数のユーザでリポジトリへのアクセスを繰り返していると、下記のような問題が生じます。

上記の影響はTracのリポジトリブラウザ上での問題のため、Subversionのリポジトリ自身への影響はありません。

Trac内部でリポジトリを保持するオブジェクトをキャッシュしていますが、認証ユーザの情報の引き継ぎが正しく行われておらず、以前の認証ユーザ情報を保持したまま、他のユーザへのリポジトリ表示処理にリポジトリオブジェクトを利用してしまうためです。

TracLightningのインストールディレクトリの下のpython\share\trac\conf\trac.iniの下記の行を

repository_type = svn

次のように変更することにより解決することができます。

repository_type = direct-svnfs