Debian DSA-2214-1：ikiwiki - 入力検証の欠如

low Nessus プラグイン ID 53341

Language:

概要

リモートのDebianホストにセキュリティ関連の更新プログラムがありません。

説明

Tango は、ページに代替スタイルシートを追加する際、wiki コンパイラーである ikiwiki が、ページ上で htmlscrubber プラグインが有効化されているかどうかを検証しないことを発見しました。これにより、カスタムスタイルシートのアップロードが可能な攻撃者は、代替スタイルシートとして悪意のあるスタイルシートを追加するか、デフォルトのスタイルシートを置換することができ、クロスサイトスクリプティング攻撃を行う可能性があります。

ソリューション

ikiwikiパッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（lenny）では、この問題はバージョン 2.53.6 で修正されています。

安定版（stable）ディストリビューション(squeeze)の場合、この問題はバージョン 3.20100815.7 で修正済みです。