Bulletin d'alerte Debian

DSA-2718-1 wordpress -- Plusieurs vulnérabilités

Date du rapport :
1er juillet 2013
Paquets concernés :
wordpress
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 713947.
Dans le dictionnaire CVE du Mitre : CVE-2013-2173, CVE-2013-2199, CVE-2013-2200, CVE-2013-2201, CVE-2013-2202, CVE-2013-2203, CVE-2013-2204, CVE-2013-2205.
Plus de précisions :

Plusieurs vulnérabilités ont été identifiées dans WordPress, un gestionnaire de blog. Puisque les CVE ont été allouées à partir des annonces de publication et que les corrections spécifiques ne sont normalement pas identifiées, le paquet wordpress a été mis à jour vers sa dernière version amont au lieu de rétroporter les correctifs.

Cela signifie qu'une attention toute particulière doit être portée lors de la mise à niveau, en particulier lors de l'utilisation de greffons ou thèmes tiers, puisque la compatibilité pourrait avoir été altérée. Nous recommandons aux utilisateurs de vérifier leur installation avant de procéder à la mise à niveau.

  • CVE-2013-2173

    Un déni de service a été découvert dans la façon dont WordPress réalise le calcul de hachage lors de la vérification de mot de passe pour les articles protégés. Un attaquant fournissant une entrée soigneusement contrefaite en tant que mot de passe pourrait forcer une utilisation excessive du processeur sur la plate-forme.

  • CVE-2013-2199

    Plusieurs vulnérabilités de contrefaçon de requête côté serveur (SSRF) ont été découvertes dans l’interface de programmation HTTP. C’est relatif à CVE-2013-0235, qui était spécifique aux requêtes de ping et a été corrigé dans la version 3.5.1.

  • CVE-2013-2200

    Une vérification inappropriée des capacités d’un utilisateur pourrait lui permettre d’augmenter ses droits, activant la possibilité de publier des articles alors que son rôle d’utilisateur ne devrait pas l’autoriser et d’assigner des articles à d’autres auteurs.

  • CVE-2013-2201

    Plusieurs vulnérabilités de script intersite (XSS), à cause d’entrées mal protégées, ont été découvertes dans les formulaires d’envoi de fichiers multimédia et de greffons.

  • CVE-2013-2202

    Une vulnérabilité d’injection d’entités externes XML par l’intermédiaire de réponses oEmbed.

  • CVE-2013-2203

    Un dévoilement de chemin complet (FPD) a été découvert dans le mécanisme d’envoi de fichier. Si le répertoire d’envoi n’est pas accessible en écriture, le message d’erreur renvoyé contient le chemin complet du répertoire.

  • CVE-2013-2204

    Usurpation de contenu par l’intermédiaire d’applettes Flash dans le greffon multimédia tinyMCE embarqué.

  • CVE-2013-2205

    Script intersite (XSS) dans le greffon d’envoi SWFupload embarqué.

Pour la distribution oldstable (Squeeze), ces problèmes ont été corrigés dans la version 3.5.2+dfsg-1~deb6u1.

Pour la distribution stable (Wheezy), ces problèmes ont été corrigés dans la version 3.5.2+dfsg-1~deb7u1.

Pour la distribution testing (Jessie), ces problèmes ont été corrigés dans la version 3.5.2+dfsg-1.

Pour la distribution unstable (Sid), ces problèmes ont été corrigés dans la version 3.5.2+dfsg-1.

Nous vous recommandons de mettre à jour vos paquets wordpress.