Рекомендация Debian по безопасности

DSA-2423-1 movabletype-opensource -- несколько уязвимостей

Дата сообщения:
02.03.2012
Затронутые пакеты:
movabletype-opensource
Уязвим:
Да
Ссылки на базы данных по безопасности:
В системе отслеживания ошибок Debian: Ошибка 631437, Ошибка 661064.
В каталоге Mitre CVE: CVE-2012-1497, CVE-2012-1262, CVE-2012-0320, CVE-2012-0319, CVE-2012-0318, CVE-2012-0317, CVE-2011-5085, CVE-2011-5084.
Более подробная информация:

В Movable Type, системе для ведения блога, было обнаружено несколько уязвимостей:

При определённых обстоятельствах пользователь, имеющий права на создание записей или управление блогом, может считывать известные файлы из локальной файловой системы.

Система управления файлами содержит уязвимости, приводящие к введению команд командной оболочки, наиболее серьёзная из которых может приводить к выполнению произвольных команд ОС пользователем, имеющим права на вход в сценарий администрирования, а также на загрузку файлов.

В сценариях комментирования и сообщества имеются уязвимости, позволяющие перехватывать сессию и выполнять подделку межсайтовых запросов. Удалённый злоумышленник при определённых обстоятельствах может перехватить сессию пользователя или может выполнить произвольный сценарий в браузере жертвы.

Шаблоны, в которых свойства переменных не экранируются, а также mt-wizard.cgi содержат межсайтовый скриптинг.

В стабильном выпуске (squeeze) эти проблемы были исправлены в версии 4.3.8+dfsg-0+squeeze2.

В тестируемом (wheezy) и нестабильном (sid) выпусках эти проблемы были исправлены в версии 5.1.3+dfsg-1.

Рекомендуется обновить пакеты movabletype-opensource.