Debian DSA-3085-1：wordpress - セキュリティ更新

medium Nessus プラグイン ID 79696

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

複数のセキュリティ問題が、Web ブログツールの WordPress で見つかっています。これにより、サービス拒否または情報漏洩が発生します。詳細については、次の upstream アドバイザリを参照してください

- CVE-2014-9031 Jouko Pynnonen 氏は、コメントまたは投稿を介して悪用可能な、wptexturize() の認証されていないクロスサイトスクリプティングの脆弱性（XSS）を発見しました。

- CVE-2014-9033 パスワードの変更プロセスでのクロスサイトリクエスト偽造（CSRF）の脆弱性により、攻撃者がこれを利用して、ユーザーを騙してパスワードを変更させる可能性があります。

- CVE-2014-9034 Javier Nieto Arevalo 氏および Andres Rojas Guerrero 氏は、パスワードの最大長が設定されていないことによる、パスワードを処理するために phpass ライブラリが使用される方法で潜在的なサービス拒否を報告しました。

- CVE-2014-9035 John Blackbourn 氏は、（ブラウザの「ブックマークレット」を使用して素早く投稿を行うために利用される）「Press This」機能の XSS を報告しました。

- CVE-2014-9036 Robert Chapin 氏は、投稿における CSS の HTML フィルタリングの XSS を報告しました。

- CVE-2014-9037 David Anderson 氏は、旧式の MD5 スキームを使用して保存されたパスワードに対するハッシュ値比較の脆弱性を報告しました。
ユーザーが WordPress 2.5 更新（2008 年 4 月 2 日に Debian にアップロード済み）後にログインしておらず、パスワードの MD5 ハッシュが PHP ダイナミック比較が原因で衝突する場合、アカウントをセキュリティ上危険にさらすためにこれが悪用される可能性はあまりありません。

- CVE-2014-9038 Ben Bidner 氏は、ループバックの IP アドレス空間を十分にブロックしないコア HTTP レイヤでのサーバー側のリクエスト偽造（SSRF）を報告しました。

- CVE-2014-9039 Momen Bassel 氏、Tanoy Bose 氏、および Bojan Slavkovic 氏は、パスワードのリセットプロセスでの脆弱性を報告しました。メールアドレスの変更は、以前のパスワードのリセットメールを無効にしない可能性があります。

ソリューション

wordpress パッケージをアップグレードしてください。

安定版（stable）ディストリビューション（wheezy）では、これらの問題はバージョン 3.6.1+dfsg-1~deb7u5 で修正されています。

将来の安定版（stable）ディストリビューション（jessie）では、これらの問題はバージョン 4.0.1+dfsg-1 で修正されています。