Debian DSA-5246-1：mediaWiki - セキュリティ更新

high Nessus プラグイン ID 165710

Language:

概要

リモートの Debian ホストにセキュリティ関連の更新プログラムがありません。

説明

リモートの Debian 11 ホストには、dsa-5246 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

- 1.35.6 より前、1.36.4 より前の 1.36.x、および 1.37.2 より前の 1.37.x の MediaWiki で問題が見つかりました。むき出しのローカルインターウィキがメインページメッセージに対して不適切に処理されるため、editinterface 権限を持つユーザーが無限再帰をトリガーする可能性があります。(CVE-2022-28201)

- 1.35.6より前、1.36.4 より前の 1.36.x、および 1.37.2より前の 1.37.xの MediaWiki で XSS の問題が見つかりました。
メッセージの widthheight、widthheightpage、および nbytes のプロパティは、ギャラリーまたは Special: RevisionDelete で使用されている場合、エスケープされません。(CVE-2022-28202)

- 1.35.6より前、1.36.4 より前の 1.36.x、および 1.37.2より前の 1.37.xの MediaWiki でサービス拒否の問題が見つかりました。多数のファイルが存在する場合、アクターを条件とする Special: NewFiles のリクエストにより、クエリの実行に非常に長い時間がかかる可能性があります。(CVE-2022-28203)

- Guzzle は、PHP の HTTP クライアントです。バージョン 6.5.6 および 7.4.3 より前の Guzzle には、Cookie ミドルウェアの脆弱性が含まれています。この脆弱性は、Cookie ドメインと Set-Cookie ヘッダーで Cookie を設定するサーバーのドメインが等しいかどうかをチェックしません。これにより、悪意のあるサーバーが無関係なドメインに Cookie を設定する可能性があります。Cookie ミドルウェアはデフォルトで無効になっているため、ほとんどのライブラリコンシューマーはこの問題の影響を受けません。手動で Cookie ミドルウェアをハンドラスタックに追加するか、['cookies' => true] でクライアントを構築した場合のみ、影響を受けます。また、複数のドメインを呼び出すために同じ Guzzle クライアントを使用せず、リダイレクト転送を無効にしている場合は、この脆弱性の影響を受けません。Guzzle バージョン 6.5.6 および 7.4.3 には、この問題に対するパッチが含まれています。回避策として、Cookie ミドルウェアをオフにしてください。(CVE-2022-29248)

- Guzzle は、オープンソースの PHP HTTP クライアントです。影響を受けるバージョンでは、リクエストの「Cookie」ヘッダーは機密情報です。「http」スキームのある URI へのリダイレクトで応答するサーバーに対して「https」スキームを使用するリクエストを行うか、別のホストへの URI へのリダイレクトで応答するサーバーへリクエストを行う場合、「Cookie」ヘッダーを転送しないでください。この修正の前は、Cookie ミドルウェアによって管理されている Cookie のみが安全に削除され、初期リクエストに手動で追加された「Cookie」ヘッダーは削除されませんでした。現在は常にそれを取り除き、Cookie ミドルウェアがそこにあると判断する Cookie を再追加できるようにしています。影響を受ける Guzzle 7 ユーザーは、できるだけ早く Guzzle 7.4.4にアップグレードする必要があります。以前のシリーズの Guzzle を使用している影響を受けるユーザーは、Guzzle 6.5.7または 7.4.4にアップグレードする必要があります。アップグレードできないユーザーは、弊社ではなく独自のリダイレクトミドルウェアを使用する代替アプローチを検討する可能性があります。リダイレクトに従う必要がない、または期待しない場合は、リダイレクトをすべて一緒に無効にしてください。(CVE-2022-31042)

- Guzzle は、オープンソースの PHP HTTP クライアントです。影響を受けるバージョンでは、リクエストの「Authorization」ヘッダーは機密情報です。「http」スキームのある URI へのリダイレクトで応答するサーバーに対して「https」スキームを使用するリクエストを行う場合、「Authorization」ヘッダーを転送しないでください。これは、ホストが変更された場合にヘッダーで転送しない方法とほとんど同じです。この修正の前は、「https」から「http」へのダウングレードをすると、「Authorization」ヘッダーが削除されず、ホストに対する変更のみが行われていました。
影響を受ける Guzzle 7 ユーザーは、できるだけ早く Guzzle 7.4.4にアップグレードする必要があります。以前のシリーズの Guzzle を使用している影響を受けるユーザーは、Guzzle 6.5.7または 7.4.4にアップグレードする必要があります。アップグレードできないユーザーは、独自のリダイレクトミドルウェアを使用する代替アプローチを検討することができます。リダイレクトが予期されない、または必要とされない場合、ユーザーはリダイレクトをまとめて無効にすることができます。(CVE-2022-31043)

- 拡張可能な PHP HTTP クライアント、Guzzle。リクエストの「Authorization」ヘッダーは機密情報です。影響を受けるバージョンでは、Curl ハンドラーを使用する際に、「CURLOPT_HTTPAUTH」オプションを使用して「Authorization」ヘッダーを指定する可能性があります。異なる生成元 (ホスト、スキーム、ポートの変更) の URI へのリダイレクトで応答するリクエストを作成する際に、それに従うことを選択した場合、続行する前に「CURLOPT_HTTPAUTH」オプションを削除し、curl が新しいリクエストに「Authorization」ヘッダーを追加しないようにする必要があります。影響を受ける Guzzle 7 ユーザーは、できるだけ早く Guzzle 7.4.5 にアップグレードする必要があります。以前のシリーズの Guzzle を使用している影響を受けるユーザーは、Guzzle 6.5.8 または 7.4.5 にアップグレードする必要があります。注意: 部分的な修正が Guzzle 7.4.2 で実装されました。ホストの変更により、curl が追加した Authorization ヘッダーの削除がトリガーされますが、この以前の修正はスキームの変更やポートの変更をカバーしていませんでした。リダイレクトに従う必要がない、または期待しない場合は、リダイレクトをすべて一緒に無効にしてください。
あるいは、curl ではなく Guzzle スチームハンドラーバックエンドを使用するように指定できます。(CVE-2022-31090)

- 拡張可能な PHP HTTP クライアント、Guzzle。リクエストの「Authorization」および「Cookie」ヘッダーは機密情報です。影響を受けるバージョンでは、異なるポートの URI へのリダイレクトで応答するリクエストを行う際に、フォローすることを選択した場合、含める前にリクエストから「Authorization」ヘッダーと「Cookie」ヘッダーを削除する必要があります。以前は、ホストまたはスキームの変更のみを考慮していました。影響を受ける Guzzle 7 ユーザーは、できるだけ早く Guzzle 7.4.5 にアップグレードする必要があります。以前のシリーズの Guzzle を使用している影響を受けるユーザーは、Guzzle 6.5.8 または 7.4.5 にアップグレードする必要があります。注意: 部分的な修正が Guzzle 7.4.2 で実装されています。ホストの変更により、curl が追加した承認ヘッダーの削除がトリガーされますが、この以前の修正はスキームの変更やポートの変更をカバーしていませんでした。アップグレードできない場合は、代替アプローチとして、弊社ではなく独自のリダイレクトミドルウェアを使用する方法もあります。リダイレクトに従う必要がない、または期待しない場合は、リダイレクトをすべて一緒に無効にしてください。(CVE-2022-31091)

- 1.35.7 より前、1.37.3 より前の 1.36.x と 1.37.x、および 1.38.1 より前の 1.38.x の MediaWiki で問題が見つかりました。XSS は、JavaScript ペイロードをユーザー名に許可する構成で発生する可能性があります。アカウント作成後、ページタイトルを「ようこそ」に設定し、その後にユーザー名を設定すると、ユーザー名がエスケープされません。
SpecialCreateAccount: : successfulAction() の呼び出し: : 2 番目のパラメーターとしてのメッセージを含む showSuccessPage()、および OutputPage: : setPageTitle() は text() を使用します。(CVE-2022-34911)

- 1.37.3より前、1.38.1 より前の 1.38.xの MediaWiki で問題が見つかりました。Special: Contributions で使用される contributions-title は、エスケープせずにページタイトルとして使用されます。したがって、ユーザー名に HTML エンティティが含まれるデフォルト以外の構成では、エスケープされません。(CVE-2022-34912)

- MediaWiki による報告: (T292763。CVE-2021-44854) REST API が、プライベート wiki からのオートコンプリート検索結果を不適切にパブリックにキャッシュします。(T271037、CVE-2021-44856) AbuseFilter でブロックされるタイトルは、Special: ChangeContentModelを介して作成できます。(T297322、CVE-2021-44857) 権限のないユーザーが action=mcrundo を使用して、任意のページのコンテンツを置き換える可能性があります。(T297322、CVE-2021-44858) 権限のないユーザーが、さまざまなアクションを使用してプライベート wiki のコンテンツを表示できます。(T297574、CVE-2021-45038) 権限のないユーザーがロールバックアクションを使用してプライベートな wiki コンテンツにアクセスできます (T293589、CVE-2021-44855) VisualEditor メディアダイアログのブラインド蓄積型 XSS。(T294686) Special: Nuke は実際にはページを削除しません。(CVE-2021-44854、CVE-2021-44855、CVE-2021-44856)

- MediaWiki による報告: (T316304、CVE-2022-41767) セキュリティ: reassignEdits が Special: Contributions の IP 範囲チェックの結果を更新しません。(T309894、CVE-2022-41765) セキュリティ: HTMLUserTextField は、非表示のユーザーの存在を漏洩します。(T307278、CVE-2022-41766) セキュリティ:action=rollback で、すでにロールされたメッセージから、削除済みユーザー名の改訂版が漏洩する可能性があります。(CVE-2022-41765、CVE-2022-41767)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。