Debians sikkerhedsbulletin

DSA-2366-1 mediawiki -- flere sårbarheder

Rapporteret den:
18. dec 2011
Berørte pakker:
mediawiki
Sårbar:
Ja
Referencer i sikkerhedsdatabaser:
I Debians fejlsporingssystem: Fejl 650434.
I Mitres CVE-ordbog: CVE-2011-1578, CVE-2011-1579, CVE-2011-1580, CVE-2011-1587, CVE-2011-4360, CVE-2011-4361.
Yderligere oplysninger:

Flere problemer er opdaget i MediaWiki, en webstedsmaskine til samarbejdsprojekter.

  • CVE-2011-1578 CVE-2011-1587

    Masato Kinugawa opdagede en sårbarhed i forbindelse med udførelse af skripter på tværs af websteder (XSS), som kun påvirker brugere af Internet Explorer version 6 og tidligere. Opsætningsændringer af webserveren er nødvendige, for at løse problemet. Opgradering af MediaWiki er tilstrækkeligt for personer, der anvender Apache hvor AllowOverride er aktiveret.

    For flere oplysninger om de nødvendige opsætningsændringer, se opstrøms annonceringer.

  • CVE-2011-1579

    Wikipedia-brugeren Suffusion of Yellow opdagede en CSS-valideringsfejl i wikitext-fortolkeren. Det er et XSS-problem som påvirker brugere af Internet Explorer, og et problem med mistede private oplysninger i andre browsere, da det var muligt at indlejre vilkårlige eksterne billeder.

  • CVE-2011-1580

    MediaWiki-udvikler Happy-Melon opdagede at transwiki-importfunktionen ikke udførte adgangskontroller ved formlarindsendelse. Transwiki-importfunktionen er som standard deaktiveret. Hvis den er blevet aktiveret, er det muligt at kopiere wikisider fra en anden wiki, anført i $wgImportSources. Problemet betyder, at enhver bruger kunne iværksætte en sådan import.

  • CVE-2011-4360

    Alexandre Emsenhuber opdagede et problem, hvor sider titler på private wikier kunne blotlægges, ved at angive en anden sides id til index.php. Hvis en bruger ikke har de nødvendige rettigheder, viderestilles vedkommende nu til Special:BadTitle.

  • CVE-2011-4361

    Tim Starling opdagede at action=ajax-forespørgsler blev leveret til den relevante funktion, uden kontrol af læseadgang blev udført. Det kunne have ført til datalækager på private wikier.

I den gamle stabile distribution (lenny), er disse problemer rettet i version 1:1.12.0-2lenny9.

I den stabile distribution (squeeze), er disse problemer rettet i version 1:1.15.5-2squeeze2.

I den ustabile distribution (sid), er disse problemer rettet i version 1:1.15.5-5.

Vi anbefaler at du opgraderer dine mediawiki-pakker.