Säkerhetsbulletin från Debian

DSA-2718-1 wordpress -- flera sårbarheter

Rapporterat den:
2013-07-01
Berörda paket:
wordpress
Sårbara:
Ja
Referenser i säkerhetsdatabaser:
I Debians felrapporteringssystem: Fel 713947.
I Mitres CVE-förteckning: CVE-2013-2173, CVE-2013-2199, CVE-2013-2200, CVE-2013-2201, CVE-2013-2202, CVE-2013-2203, CVE-2013-2204, CVE-2013-2205.
Ytterligare information:

Flera sårbarheter har upptäckts i WordPress, ett webbbloggverktyg. Eftersom CVEerna hämtades från utgåvetillkännagivanden och specifika fixar vanligtvis inte identifieras så har ett beslut tagits att uppgradera wordpress till den senaste uppströmsversionen istället för att bakåtportera rättningarna.

Detta betyder att extra försiktighet bör tas vid uppgradering, speciellt vid användning av tredje-parts insticksmoduler eller teman, eftersom kompabilitet kan ha påverkats på vägen. Vi rekommenderar att användare kontrollerar sin installation innan dom gör uppgraderingen.

  • CVE-2013-2173

    En överbelastning hittades i sättet som Wordpress utför hashberäkning vid kontroll av lösenord för skyddade inlägg. En angripare som tillhandahåller försiktigt skapad input som lösenord kunde göra att platformen orsakar överdriven CPU-belastning.

  • CVE-2013-2199

    Flera sårbarheter för förfalskningar av förfrågningar på serversidan (server-side requests forgery - SSRF) har upptäckts i HTTP-APIn. Detta är relaterat till CVE-2013-0235, vilket var specifikt för SSRF i pingback-förfrågningar och är fixat i 3.5.1.

  • CVE-2013-2200

    Otillräcklig kontroll av en användares möjligheter kunde leda till utökning av privilegier, vilket kunde tillåta dem att publicera inlägg när deras användarroll inte skulle tillåta det och tilldela inlägg till andra författare.

  • CVE-2013-2201

    Flera serveröverskridande skriptsårbarheter (XSS) på grund av dåligt avslutade inläsning av indata hittades i mediafilerna och uppladdningsformulären för insticksmoduler.

  • CVE-2013-2202

    Sårbarhet för XML-injektion av extern enhet (XXE) via oEmbed-svar.

  • CVE-2013-2203

    Ett avslöjande av full sökväg (FPD) hittades i mekanismen för filuppladdning. Om uppladdningsfoldern inte är skrivbar så ger felmeddelandet som returneras den fulla sökvägen.

  • CVE-2013-2204

    Innehållsförfalskning via Flashapplet i den inbäddade tinyMCE media-insticksmodulen.

  • CVE-2013-2205

    Domänöverskridande XSS i den inbäddade SWFupload-uppladdaren.

För den gamla stabila utgåvan (Squeeze) har dessa problem rättats i version 3.5.2+dfsg-1~deb6u1.

För den stabila utgåvan (Wheezy) har dessa problem rättats i version 3.5.2+dfsg-1~deb7u1.

För uttestningsutgåvan (Jessie) har dessa problem rättats i version 3.5.2+dfsg-1.

För den instabila utgåvan (Sid) har dessa problem rättats i version 3.5.2+dfsg-1.

Vi rekommenderar att ni uppgraderar era wordpress-paket.