Debians sikkerhedsbulletin

DSA-2891-1 mediawiki, mediawiki-extensions -- sikkerhedsopdatering

Rapporteret den:
30. mar 2014
Berørte pakker:
mediawiki, mediawiki-extensions
Sårbar:
Ja
Referencer i sikkerhedsdatabaser:
I Debians fejlsporingssystem: Fejl 729629, Fejl 706601, Fejl 742857, Fejl 742857.
I Mitres CVE-ordbog: CVE-2013-2031, CVE-2013-2032, CVE-2013-4567, CVE-2013-4568, CVE-2013-4572, CVE-2013-6452, CVE-2013-6453, CVE-2013-6454, CVE-2013-6472, CVE-2014-1610, CVE-2014-2665.
Yderligere oplysninger:

Flere sårbarheder blev opdaget i MediaWiki, en wikimotor. Projektet Common Vulnerabilities and Exposures har registreret følgende problemer:

  • CVE-2013-2031

    Et angreb i forbindelse med udførelse af skripter på tværs af websteder ved hjælp af gyldige indkapslede UTF-7-sekvenser i en SVG-fil.

  • CVE-2013-4567 & CVE-2013-4568

    Kevin Israel (Wikipedia-brugeren PleaseStand) rapporterede to måder, at indsprøjte JavaScript på, på grund af en ufuldstændig sortliste i funktionen til fornuftighedskontrol af CSS.

  • CVE-2013-4572

    MediaWiki og udvidelsen CentralNotice opsatte ukorrekt cacheheadere, når en bruger blev automatisk oprettet, hvilket medførte at brugerens sessioncookie blev cachet, og returneret til andre brugere.

  • CVE-2013-6452

    Chris fra RationalWiki rapporterede at SVG-filer kunne uploades indeholdende eksterne stylesheets, hvilket kunne føre til XSS, når et XSL indeholdt JavaScript.

  • CVE-2013-6453

    MediaWikis SVG-fornuftighedskontrol kunne omgås, når XML'et blev anset for at være ugyldigt.

  • CVE-2013-6454

    MediaWikis CSS-fornuftighedskontrol bortfiltrerede ikke -o-link-attributter, hvilket kunne anvendes til at udføre JavaScript i Opera 12.

  • CVE-2013-6472

    MediaWiki viste nogle oplysninger om slettede sider i log-API'et, udvidede seneste ændringer og brugerovervågningslister.

  • CVE-2014-1610

    En sårbarhed i forbindelse med fjernudførelse af kode, fandtes hvis filupload understøttende DjVu (håndteret internt) eller PDF-filer (kombineret med PdfHandler-udvidelsen) var aktiveret. Ingen af filtyperne er som standard aktiveret i MediaWiki.

  • CVE-2014-2665

    Forespørgselsforfalskning på tværs af websteder var muligt på loginformularen: en angriber kunne logge et offer på som angriberen.

I den stabile distribution (wheezy), er disse problemer rettet i version 1:1.19.14+dfsg-0+deb7u1 af pakken mediawiki og i 3.5~deb7u1 af pakken mediawiki-extensions.

I den ustabile distribution (sid), er disse problemer rettet i version 1:1.19.14+dfsg-1 af pakken mediawiki og i 3.5 af pakken mediawiki-extensions.

Vi anbefaler at du opgraderer dine mediawiki-pakker.