MediaWiki < 1.19.9 / 1.20.8 / 1.21.3 の複数の脆弱性

medium Nessus プラグイン ID 71500

概要

リモートWebサーバーに、複数の脆弱性の影響を受けるアプリケーションが含まれています。

説明

バージョン番号によると、リモートホストで実行されている MediaWiki のインスタンスは、次の脆弱性による影響を受けます。

- 入力検証のエラーが存在し、クロスサイトスクリプティング攻撃が発生する可能性があります。(CVE-2013-4567、CVE-2013-4568)

- セッションIDとHTTPヘッダーに関連するエラーが存在し、情報漏洩を引き起こす可能性があります。(CVE-2013-4572)

また、次の拡張に脆弱性が含まれますが、(別途記載がない限り)デフォルトで有効にされたり、インストールされたりしません。

- 「CentralAuth」拡張に関連する入力検証エラーが存在し、クロスサイトリクエスト偽造攻撃(CSRF)が発生する可能性があります。(CVE-2012-5394)

- 「CleanChanges」拡張にエラーが存在し、「revision-deleted」 IPアドレスに関連した情報漏洩が発生する可能性があります。(CVE-2013-4569)

- 「ZeroRatedMobileAccess」拡張に入力の検証エラーが存在し、クロスサイトスクリプティング攻撃が引き起こされる可能性があります。(CVE-2013-4573)

Nessus はこれらの問題をテストしていませんが、その代わりにアプリケーションの自己報告されたバージョン番号に依存していることに、注意してください。

ソリューション

MediaWiki バージョン 1.19.9 / 1.20.8 / 1.21.3 以降にアップグレードしてください。

参考資料

http://www.nessus.org/u?d9d8f458

https://www.mediawiki.org/wiki/Release_notes/1.19#MediaWiki_1.19.9

https://www.mediawiki.org/wiki/Release_notes/1.20#MediaWiki_1.20.8

https://www.mediawiki.org/wiki/Release_notes/1.21#MediaWiki_1.21.3

プラグインの詳細

深刻度: Medium

ID: 71500

ファイル名: mediawiki_1_19_9.nasl

バージョン: 1.12

タイプ: remote

ファミリー: CGI abuses

公開日: 2013/12/17

更新日: 2024/6/5

設定: パラノイドモードの有効化, 徹底したチェックを有効にする

サポートされているセンサー: Nessus

Enable CGI Scanning: true

リスク情報

VPR

リスクファクター: Medium

スコア: 5.9

CVSS v2

リスクファクター: Medium

基本値: 6.8

現状値: 5

ベクトル: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P

脆弱性情報

CPE: cpe:/a:mediawiki:mediawiki

必要な KB アイテム: www/PHP, Settings/ParanoidReport, installed_sw/MediaWiki

除外される KB アイテム: Settings/disable_cgi_scanning

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2013/11/14

脆弱性公開日: 2012/10/3

参照情報

CVE: CVE-2012-5394, CVE-2013-4567, CVE-2013-4568, CVE-2013-4569, CVE-2013-4572, CVE-2013-4573

BID: 63755, 63756, 63757, 63759, 63760, 63761

CWE: 20, 442, 629, 711, 712, 722, 725, 74, 750, 751, 79, 800, 801, 809, 811, 864, 900, 928, 931, 990