Joey Hess discovered that the aggregate plugin of the Ikiwiki wiki compiler was susceptible to server-side request forgery, resulting in information disclosure or denial of service.

The ikiwiki maintainers discovered that the aggregate plugin did not use LWPx::ParanoidAgent. On sites where the aggregate plugin is enabled, authorized wiki editors could tell ikiwiki to fetch potentially undesired URIs even if LWPx::ParanoidAgent was installed :

local files via file: URIs other URI schemes that might be misused by attackers, such as gopher: hosts that resolve to loopback IP addresses (127.x.x.x) hosts that resolve to RFC 1918 IP addresses (192.168.x.x etc.)

This could be used by an attacker to publish information that should not have been accessible, cause denial of service by requesting 'tarpit' URIs that are slow to respond, or cause undesired side-effects if local web servers implement 'unsafe' GET requests.
(CVE-2019-9187)

Additionally, if liblwpx-paranoidagent-perl is not installed, the blogspam, openid and pinger plugins would fall back to LWP, which is susceptible to similar attacks. This is unlikely to be a practical problem for the blogspam plugin because the URL it requests is under the control of the wiki administrator, but the openid plugin can request URLs controlled by unauthenticated remote users, and the pinger plugin can request URLs controlled by authorized wiki editors.

This is addressed in ikiwiki 3.20190228 as follows, with the same fixes backported to Debian 9 in version 3.20170111.1 :

  - URI schemes other than http: and https: are not     accepted, preventing access to file:, gopher:, etc.

  - If a proxy is configured in the ikiwiki setup file, it     is used for all outgoing http: and https: requests. In     this case the proxy is responsible for blocking any     requests that are undesired, including loopback or RFC     1918 addresses.

  - If a proxy is not configured, and     liblwpx-paranoidagent-perl is installed, it will be     used. This prevents loopback and RFC 1918 IP addresses,     and sets a timeout to avoid denial of service via     'tarpit' URIs.

  - Otherwise, the ordinary LWP user-agent will be used.
    This allows requests to loopback and RFC 1918 IP     addresses, and has less robust timeout behaviour. We are     not treating this as a vulnerability: if this behaviour     is not acceptable for your site, please make sure to     install LWPx::ParanoidAgent or disable the affected     plugins.

For Debian 8 'Jessie', this problem has been fixed in version 3.20141016.4+deb8u1.

We recommend that you upgrade your ikiwiki packages. In addition it is also recommended that you have liblwpx-paranoidagent-perl installed, which listed in the recommends field of ikiwiki.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

ikiwikiの保守管理者は、集合プラグインがLWPx::ParanoidAgent を使用していないことを発見しました。集合プラグインが有効になっているサイトでは、LWPx::ParanoidAgentがインストールされている場合でも、許可されたWiki

エディタが、ikiwikiにfile:URIを介して望ましくないURI、ローカルファイル、ループバックIPアドレス（127.x.x.x）を解決するホストやRFC 1918 IPアドレスを解決するホスト（192.168.x.x など）であるgopherなど、攻撃者が悪用する可能性のある他のURIスキームをフェッチするよう伝える可能性があります。

攻撃者がこれを利用して、アクセスできないはずの情報を公開したり、応答が遅い「tarpit」URIをリクエストすることでサービス拒否を引き起こしたり、ローカルWebサーバーが「安全性の確認されていない」GETリクエストを実装した場合に望ましくない副作用を引き起こしたりする可能性があります。
（CVE-2019-9187）

さらに、liblwpx-paranoidagent-perlがインストールされていない場合、blogspam、openid、pingerのプラグインがLWPにフォールバックし、同様の攻撃を受けやすくなります。blogspamプラグインがリクエストするURLは、wiki管理者の管理下にあるため、これが現実的な問題になる可能性は低いですが、openidプラグインは認証されていないリモートユーザーが制御するURLをリクエストでき、pingerプラグインは許可されたwikiエディタが制御するURLをリクエストできます。

この問題は、ikiwikiで次のように対処されています3.20190228。バージョン3.20170111.1では、Debian 9に同じ修正がバックポートされています

  - http:およびhttps:以外のURIスキームが受け入れられず、gopherなどのファイルにアクセスできない。

  - プロキシがikiwiki設定ファイルで構成されていると、すべてのhttp:およびhttps: 送信リクエストに使用されます。この場合、プロキシはループバックやRFC 1918のアドレスを含む、望ましくないリクエストをブロックする役割を果たします。

  - プロキシが構成されておらず、liblwpx-paranoidagent-perlがインストールされている場合に使用されます。これにより、ループバックとRFC 1918のIPアドレスが回避され、「tarpit」URIを介したサービス拒否を回避するためにタイムアウトが設定されます。

  - それ以外の場合は、通常のLWP user-agentが使用されます。
    これにより、リクエストにループバックとRFC 1918のIPアドレスが許可され、タイムアウト動作が安定しなくなります。弊社では、これを脆弱性として扱いません: この動作がお使いのサイトで受け入れられない場合は、必ずLWPx::ParanoidAgentをインストールするか影響を受けるプラグインを無効にしてください。

Debian 8「Jessie」では、この問題はバージョン3.20141016.4+deb8u1で修正されました。

お使いのikiwikiパッケージをアップグレードすることを推奨します。さらに、ikiwikiの推奨フィールドの一覧にあるliblwpx-paranoidagent-perlをインストールすることも推奨されます。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Joey Hess氏は、Ikiwiki wikiコンパイラの集約プラグインがサーバー側のリクエスト偽造の影響を受けやすく、情報漏洩やサービス拒否が引き起こされることを発見しました。

Ikiwiki 维护人员发现，聚合插件未使用 LWPx::ParanoidAgent。在启用了聚合插件的网站上，即使已安装 LWPx::ParanoidAgent，经过授权的 wiki 编辑器也可以请求 ikiwiki 提取可能不想要的 URI：通过 file: URI 的本地文件 攻击者可能会滥用的其他 URI 方案，如 gopher: 解析到环回 IP 地址的主机 (127.x.x.x) 解析到 RFC 1918 IP 地址的主机（192.168.x.x 等）如果本地 web 服务器实施了“unsafe”GET 请求，那么攻击者可能会利用此问题发布本应无权访问的信息，从而通过请求响应缓慢的“tarpit”URI 造成拒绝服务，或造成意外副作用。(CVE-2019-9187) 此外，如果未安装 liblwpx-paranoidagent-perl，则 blogspam、openid 和 pinger 插件可能会回退到容易受到类似攻击的 LWP。由于 blogspam 插件请求的 URL 受到 wiki 管理员的控制，因此可能不存在实际问题，但 openid 插件可以请求受到未经身份验证的远程用户控制的 URL，而 pinger 插件可以请求受到经过授权的 wiki 编辑器控制的 URL。此问题在 ikiwiki 3.20190228 中解决如下，在 3.20170111.1 版本中相同的修复措施已向后移植到 Debian 9：- 不接受 http: 和 https: 以外的 URI 方案，以防止访问 file:、gopher: 等。- 如果 ikiwiki 设置文件中配置了代理，则会用于所有传出的 http: 和 https: 请求。在这种情况下，该代理会负责封锁任何不想要的请求，包括环回或 RFC 1918 地址。- 如果未配置代理，但安装了 liblwpx-paranoidagent-perl，则会使用后者。这种方式能够防止环回和 RFC 1918 IP 地址，并设置超时，避免通过“tarpit”URI 造成拒绝服务。- 在其他情况下，会使用普通的 LWP 用户代理。这种方式允许环回和 RFC 1918 IP 地址请求，并且超时行为不如前者。我们未将此问题视为漏洞：如果您的网站不接受此行为，请务必安装 LWPx::ParanoidAgent 或禁用受影响的插件。对于 Debian 8“Jessie”，这一问题已在 3.20141016.4+deb8u1 版本中修复。建议您升级 ikiwiki 程序包。此外，建议您安装 liblwpx-paranoidagent-perl，此插件已列在 ikiwiki 的建议字段中。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

ikiwiki 維護人員發現彙總外掛程式未使用 LWPx::ParanoidAgent。在啟用彙總外掛程式的網站上，即使已安裝 LWPx::ParanoidAgent，授權的 wiki 編輯者也可以告訴 ikiwiki 擷取潛在的不良 URI：透過檔案的本機檔案：攻擊者可能會濫用的其他 URI 配置，例如 gopher：解析為回送 IP 位址 (127.xxx) 的主機，解析為 RFC 1918 IP 位址 (192.168.xx 等) 的主機。攻擊者可能會利用此弱點來發布不應存取的資訊，透過要求回應速度較慢的 'tarpit’ URI 導致拒絕服務，或者如果本機網頁伺服器實作不安全的 GET 要求，則可能導致意外的副作用。(CVE-2019-9187) 另外，如果未安裝 liblwpx-paranoidagent-perl，則 blogspam、openid 和 pinger 外掛程式將回復為 LWP，進而容易受到類似攻擊。對於 blogspam 外掛程式來說，這不太可能是一個實際問題，因為它要求的 URL 受 wiki 管理員控制，但是 openid 外掛程式可以要求由未經驗證的遠端使用者控制的 URL，而 pinger 外掛程式可以要求由授權 wiki 編輯者控制的 URL。這個問題在 ikiwiki 3.20190228 中已解決 (如下所示)，並將相同的修正反向移植到版本 3.20170111.1 中的 Debian 9：- 不接受 http: 和 https: 以外的 URI 配置，以阻止訪問 file:、gopher: 等。- 如果在 ikiwiki 設定檔案中設定了 proxy，則該 proxy 將用於所有傳出的 http: 和 https: 要求。在這種情況下，proxy 將負責阻止任何不需要的要求，包括回送或 RFC 1918 位址。-如果未設定 proxy，並且已安裝 liblwpx-paranoidagent-perl，則將使用後者。這樣可以防止回送和 RFC 1918 IP 位址，並設定逾時以避免因為 'tarpit’ URI 導致拒絕服務。- 否則，將使用一般 LWP 使用者代理程式。這將允許要求回送和 RFC 1918 IP 位址的要求，並且具有較弱的逾時行為。我們不會將其視為弱點：如果您的網站不接受此行為，請務必安裝 LWPx::ParanoidAgent 或停用受影響的外掛程式。針對 Debian 8「Jessie」，此問題已在 3.20141016.4+deb8u1 版本中修正。建議您升級 ikiwiki 套件。此外，建議您一併安裝 liblwpx-paranoidagent-perl，它列在 ikiwiki 的「推薦」欄位中。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Joey Hess 發現 Ikiwiki Wiki 編譯器的彙總外掛程式容易受到伺服器端要求偽造的影響，進而導致資訊洩漏或拒絕服務。

Joey Hess 发现，Ikiwiki wiki 编译器的聚合插件容易受到服务器端请求伪造，造成信息泄露或拒绝服务。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
122518	Debian DSA-4399-1 : ikiwiki - security update	Nessus	Debian Local Security Checks	2019/3/1	2024/6/18	high
122928	Debian DLA-1716-1 : ikiwiki security update	Nessus	Debian Local Security Checks	2019/3/19	2024/6/13	high
122928	DebianDLA-1716-1: ikiwikiのセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/3/19	2024/6/13	high
122518	DebianDSA-4399-1: ikiwiki - セキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/3/1	2024/6/18	high
122928	Debian DLA-1716-1：ikiwiki 安全更新	Nessus	Debian Local Security Checks	2019/3/19	2024/6/13	high
122928	Debian DLA-1716-1：ikiwiki 安全性更新	Nessus	Debian Local Security Checks	2019/3/19	2024/6/13	high
122518	Debian DSA-4399-1：ikiwiki - 安全性更新	Nessus	Debian Local Security Checks	2019/3/1	2024/6/18	high
122518	Debian DSA-4399-1：ikiwiki - 安全更新	Nessus	Debian Local Security Checks	2019/3/1	2024/6/18	high

検出

プラグインの検索

high

high

high

high

high

high

high

high