Multiple security issues were discovered in MediaWiki, a website engine for collaborative work.

CVE-2020-15005

Private wikis behind a caching server using the img_auth.php image authorization security feature may have had their files cached publicly, so any unauthorized user could view them.

CVE-2020-35477

Blocks legitimate attempts to hide log entries in some situations.

CVE-2020-35479

Allows XSS via BlockLogFormatter.php. Language::translateBlockExpiry itself does not escape in all code paths. For example, the return of Language::userTimeAndDate is is always unsafe for HTML in a month value.

CVE-2020-35480

Missing users (accounts that don't exist) and hidden users (accounts that have been explicitly hidden due to being abusive, or similar) that the viewer cannot see are handled differently, exposing sensitive information about the hidden status to unprivileged viewers.

For Debian 9 stretch, these problems have been fixed in version 1:1.27.7-1~deb9u7.

We recommend that you upgrade your mediawiki packages.

For the detailed security status of mediawiki please refer to its security tracker page at:
https://security-tracker.debian.org/tracker/mediawiki

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

共同作業のためのWebサイトエンジンであるMediaWikiで、複数のセキュリティの問題が発見されました：

CVE-2020-15005

img_auth.php画像認証セキュリティ機能を使用しているキャッシングサーバーの背後にあるプライベートwikiは、ファイルにパブリックでキャッシュさせていた可能性があります。このため、権限のないユーザーがファイルを閲覧することが可能でした。

CVE-2020-35477

状況によっては、ログエントリを非表示にする正当な試みをブロックします。

CVE-2020-35479

BlockLogFormatter.phpを介したXSSを許可します。Language: : translateBlockExpiry自体が、すべてのコードパスでエスケープするわけではありません。例えば、Language: : userTimeAndDateの応答は、1か月の値ではHTMLに対して常に安全ではありません。

CVE-2020-35480

ビューアーが閲覧できない見つからないユーザー（アカウントが存在しない）と非表示ユーザー（悪用などのために明示的に非表示にされたアカウント）の処理が異なるため、非表示ステータスに関する機密情報が権限のないユーザーに公開されます。

Debian 9 'Stretch'では、これらの問題はバージョン1:1.27.7-1~deb9u7で修正されています。

お使いのmediawikiパッケージをアップグレードすることを推奨します。

mediawikiの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
https://security-tracker.debian.org/tracker/mediawiki

注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

在 MediaWiki（用于协同工作的网站引擎）中发现多个安全问题。

CVE-2020-15005

使用 img_auth.php 图像授权安全功能的缓存服务器后面的私有 wiki 可能已公开缓存其文件，因此任何未经授权的用户均可查看它们。

CVE-2020-35477

阻止在某些情况下隐藏日志条目的合法尝试。

CVE-2020-35479

允许通过 BlockLogFormatter.php 的 XSS。语言：: translateBlockExpiry 本身不会在所有代码路径中转义。例如，返回 Language: : userTimeAndDate 对于月份值中的 HTML 而言始终是不安全的。

CVE-2020-35480

对查看者无法查看的缺失用户（不存在的帐户）和隐藏用户（由于滥用或类似情况而被明确隐藏的帐户）的处理方式不同，会将有关隐藏状态的敏感信息泄露给非特权查看者。

对于 Debian 9 stretch，已在版本 1:1.27.7-1~deb9u7 中修复这些问题。

我们建议您升级 mediawiki 程序包。

如需了解 mediawiki 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/mediawiki

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动清理和排版。

在 MediaWiki (一個用於共同作業的網站引擎) 中發現多個安全性問題：SpecialUserRights 可洩漏使用者是否存在，多個程式碼路徑缺少 HTML 清理，可導致跨網站指令碼攻擊，並且 TOTP 驗證會針對暴力密碼破解嘗試套用不充分的速率限制。

Multiple security issues were discovered in MediaWiki, a website engine for collaborative work: SpecialUserRights could leak whether a user existed or not, multiple code paths lacked HTML sanitisation allowing for cross-site scripting and TOTP validation applied insufficient rate limiting against brute force attempts.

https://lists.wikimedia.org/pipermail/mediawiki-announce/2020-June/000 252.html

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

在 MediaWiki (一個用於共同作業的網站引擎) 中發現多個安全性問題。

CVE-2020-15005

使用 img_auth.php 影像授權安全性功能的快取伺服器後面的私人 wiki 可能已允許公開快取其檔案，因此任何未經授權的使用者都可以檢視這些檔案。

CVE-2020-35477

在某些情況下，封鎖隱藏記錄項目的合法嘗試。

CVE-2020-35479

允許透過 BlockLogFormatter.php 執行 XSS 攻擊。語系：: translateBlockExpiry 本身不會在所有程式碼路徑中逸出。例如，傳回 Language: : userTimeAndDate 對於使用月份值的 HTML 而言始終是不安全的。

CVE-2020-35480

針對檢視者無法看見的遺漏使用者 (不存在的帳戶) 和隱藏使用者 (因濫用或類似情況而明確隱藏)，以不同方式進行處理，可以將有關隱藏狀態的敏感資訊洩漏給無權限的檢視者。

針對 Debian 9 Stretch，已在 1:1.27.7-1~deb9u7 版本中修正這些問題。

建議您升級 mediawiki 套件。

如需有關 mediawiki 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/mediawiki

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 MediaWiki（用于协同工作的网站引擎）中发现多个安全问题：SpecialUserRights 可泄露用户是否存在，多个代码路径缺少 HTML 审查，从而允许跨站脚本，以及 TOTP 验证对暴力破解尝试的速率限制不足。

https://lists.wikimedia.org/pipermail/mediawiki-announce/2020-June/000 252.html

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

共同作業のためのWebサイトエンジンであるMediaWikiで、複数のセキュリティの問題が発見されました: SpecialUserRightsはユーザーが存在するかを漏洩する可能性があり、複数のコードパスにHTMLサニタイズがなく、クロスサイトスクリプティングが可能になり、TOTP検証によってブルートフォース攻撃に対して適用されるレート制限が不十分になりました。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
144574	Debian DLA-2504-1 : mediawiki security update	Nessus	Debian Local Security Checks	2020/12/23	2024/1/31	medium
144574	DebianDLA-2504-1：mediaWikiのセキュリティ更新	Nessus	Debian Local Security Checks	2020/12/23	2024/1/31	medium
144574	Debian DLA-2504-1：mediawiki 安全更新	Nessus	Debian Local Security Checks	2020/12/23	2024/1/31	medium
140811	Debian DSA-4767-1：mediawiki - 安全性更新	Nessus	Debian Local Security Checks	2020/9/28	2024/2/20	high
140811	Debian DSA-4767-1 : mediawiki - security update	Nessus	Debian Local Security Checks	2020/9/28	2024/2/20	high
138115	Fedora 32 : mediawiki (2020-9c97633708)	Nessus	Fedora Local Security Checks	2020/7/6	2020/7/15	low
144574	Debian DLA-2504-1：mediawiki 安全性更新	Nessus	Debian Local Security Checks	2020/12/23	2024/1/31	medium
140811	Debian DSA-4767-1：mediawiki - 安全更新	Nessus	Debian Local Security Checks	2020/9/28	2024/2/20	high
138115	Fedora 32：mediawiki（2020-9c97633708）	Nessus	Fedora Local Security Checks	2020/7/6	2020/7/15	low
140811	Debian DSA-4767-1: mediaWiki - セキュリティ更新	Nessus	Debian Local Security Checks	2020/9/28	2024/2/20	high

検出

プラグインの検索

medium

medium

medium

high

high

low

medium

high

low

high