Bulletin d'alerte Debian

DLA-633-1 wordpress -- Mise à jour de sécurité pour LTS

Date du rapport :
22 septembre 2016
Paquets concernés :
wordpress
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le dictionnaire CVE du Mitre : CVE-2015-8834, CVE-2016-4029, CVE-2016-5836, CVE-2016-6634, CVE-2016-6635, CVE-2016-7168, CVE-2016-7169, CVE-2015-3440.
Plus de précisions :

Plusieurs vulnérabilités ont été découvertes dans WordPress, un outil de blog. Le projet « Common Vulnerabilities and Exposures » (CVE) identifie les problèmes suivants.

  • CVE-2015-8834

    Une vulnérabilité de script intersite (XSS) dans wp-includes/wp-db.php dans WordPress avant la version 4.2.2 permet à des attaquants distants d'injecter un script web arbitraire ou du HTML à l'aide d'un long commentaire qui est stocké incorrectement à cause de limitations du type de données TEXT de MySQL TEXT. NOTE : Cette vulnérabilité existe du fait d'une correction incomplète du CVE-2015-3440

  • CVE-2016-4029

    WordPress avant la version 4.5 ne prend pas en considération les formats octal et hexadécimal d'adresse IP lors de la détermination d'une adresse intranet. Cela permet à des attaquants distants de contourner un mécanisme voulu de protection contre une vulnérabilité SSRF (Server Side Request Forgery) à l'aide d'une adresse contrefaite.

  • CVE-2016-5836

    L'implémentation du protocole oEmbed dans WordPress avant la version 4.5.3 permet à des attaquants distants de provoquer un déni de service à l'aide de vecteurs non précisés.

  • CVE-2016-6634

    Une vulnérabilité de script intersite (XSS) dans la page de configuration de réseau dans WordPress avant la version 4.5 permet à des attaquants distants d'injecter un script web arbitraire ou du HTML à l'aide de vecteurs non précisés.

  • CVE-2016-6635

    Un vulnérabilité de contrefaçon de requête intersite (CSRF) dans la fonction wp_ajax_wp_compression_test dans wp-admin/includes/ajaxactions.php dans WordPress avant la version 4.5 permet à des attaquants distants le détournement de l'authentification des administrateurs pour des requêtes qui modifient l'option de compression de script.

  • CVE-2016-7168

    Correction d'une vulnérabilité de script intersite à l'aide d'un nom de fichier d'image.

  • CVE-2016-7169

    Correction d'une vulnérabilité de traversée de répertoires dans le chargeur de paquet de mise à niveau.

Pour Debian 7 Wheezy, ces problèmes ont été corrigés dans la version 3.6.1+dfsg-1~deb7u12.

Nous vous recommandons de mettre à jour vos paquets wordpress.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.