Рекомендация Debian по безопасности

DSA-1564-1 wordpress -- многочисленные уязвимости

Дата сообщения:
01.05.2008
Затронутые пакеты:
wordpress
Уязвим:
Да
Ссылки на базы данных по безопасности:
В каталоге Mitre CVE: CVE-2007-3639, CVE-2007-4153, CVE-2007-4154, CVE-2007-0540.
Более подробная информация:

В WordPress, программе для управления блогом, было обнаружено несколько удалённых уязвимостей. Проект Common Vulnerabilities and Exposures определяет следующие проблемы:

  • CVE-2007-3639

    Недостаточная очистка входных данных позволяет удалённым злоумышленникам перенаправлять посетителей на внешние веб-сайты.

  • CVE-2007-4153

    Многочисленные случаи межсайтового скриптинга позволяют удалённым аутентифицированным администраторам вводить произвольный веб-сценарий или код HTML.

  • CVE-2007-4154

    SQL-инъекция позволяет удалённым аутентифицированным администраторам выполнять произвольные команды SQL.

  • CVE-2007-0540

    WordPress позволяет удалённым злоумышленникам вызывать отказ в обслуживании (чрезмерное потребление полосы пропускания или потока) с помощью вызовов службы автоматического уведомления с исходным URI, соответствующем файлу с двоичным типом содержимого, который загружается даже в том случае, если получить полезные данные для автоматического уведомления нельзя.

  • [идентификатор CVE пока отсутствует]

    Недостаточная очистка входных данных позволяет злоумышленнику с учётной записью обычного пользователя получить доступ к интерфейсу администратора.

В стабильном выпуске (etch) эти проблемы были исправлены в версии 2.0.10-1etch2.

В нестабильном выпуске (sid) эти проблемы были исправлены в версии 2.2.3-1.

Рекомендуется обновить пакет wordpress.

Исправлено в:

Debian GNU/Linux 4.0 (etch)

Исходный код:
http://security.debian.org/pool/updates/main/w/wordpress/wordpress_2.0.10.orig.tar.gz
http://security.debian.org/pool/updates/main/w/wordpress/wordpress_2.0.10-1etch2.diff.gz
http://security.debian.org/pool/updates/main/w/wordpress/wordpress_2.0.10-1etch2.dsc
Независимые от архитектуры компоненты:
http://security.debian.org/pool/updates/main/w/wordpress/wordpress_2.0.10-1etch2_all.deb

Контрольные суммы MD5 этих файлов доступны в исходном сообщении.