Fedora 19：mediawiki-1.23.7-1.fc19（2014-16020）
critical Nessus プラグイン ID 79907
Language:
概要
リモート Fedora ホストに、セキュリティ更新がありません。説明
http://www.mediawiki.org/wiki/Release_notes/1.23#MediaWiki_1.23.7- （バグ 66776、バグ 71478）セキュリティ：ユーザーの PleaseStand は、format=php を使用してフラッシュポリシーのマングリングを受けるページを処理する API クライアントに、コードを挿入する方法があることを報告しました。これは修正されました。また、format=json に対するマングリングが改善され、サイトが $wgMangleFlashPolicy を使用するマングリングを無効することを許可しました。
- （バグ 70901）セキュリティ：ユーザーの Jackmcbarn 氏は、ページのコンテンツモデルを更新できる機能により、権限のない攻撃者が、特定の状況下で他のユーザーの common.js を編集することが可能であることを報告しました。ユーザーの権限「editcontentmodel」が追加されました。これは、リビジョンのコンテンツモデルを変更するために必要です。
- （バグ 71111）セキュリティ：ユーザーのユーザーの PleaseStand 氏は、 Raw HTML を許可するウィキで、クロスサイトリクエストなどの信頼できないソースから来たウィキテキストをプレビューすることが安全でないことを報告しました。このため、編集トークンをフォームに追加してください。また、Raw HTML が許可される場合は、プレビューを表示する前にトークンが提供されるようにしてください。このシナリオを悪用するより簡単な方法があるため、このチェックは Raw HTML と匿名の編集の両方を許可するウィキでは実行されません。
- （バグ 72222）セキュリティ：エントリが DELETED_ACTION でリビジョン削除される場合に、ログアクションを表示しません。通知：これは、望ましい機能性に関する公開された RFC を保留する将来のリリースで戻される可能性があります。この問題は、ユーザー Bawolff によって報告されました。
- （バグ 71621）制限された特殊なページの許可するサイトワイドスタイルを構成オプションにします。
- （バグ 42723）1.19.2 から 1.22.13 までの更新済みのバージョン履歴を追加
- フラッシュポリシーディレクティブと思われる何かの MediaWiki マングリングを構成可能にする $wgMangleFlashPolicy が追加されました。
注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。
ソリューション
影響を受ける mediawiki パッケージを更新してください。参考資料
https://www.mediawiki.org/wiki/Release_notes/1.23#MediaWiki_1.23.7
プラグインの詳細
深刻度: Critical
ID: 79907
ファイル名: fedora_2014-16020.nasl
バージョン: 1.9
タイプ: local
エージェント: unix
ファミリー: Fedora Local Security Checks
公開日: 2014/12/15
更新日: 2021/1/11
サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
リスク情報
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 7.4
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
脆弱性情報
CPE: p-cpe:/a:fedoraproject:fedora:mediawiki, cpe:/o:fedoraproject:fedora:19
必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2014/12/1
脆弱性公開日: 2014/12/1
エクスプロイト可能
Elliot (MediaWiki thumb.php page Parameter Remote Shell Command Injection)
参照情報
BID: 65003, 65223, 67068, 70238
FEDORA: 2014-16020