リモートの Debian 11 ホストには、dsa-5246 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 1.35.6 より前、1.36.4 より前の 1.36.x、および 1.37.2 より前の 1.37.x の MediaWiki で問題が見つかりました。むき出しのローカルインターウィキがメインページメッセージに対して不適切に処理されるため、editinterface 権限を持つユーザーが無限再帰をトリガーする可能性があります。(CVE-2022-28201)

  - 1.35.6より前、1.36.4 より前の 1.36.x、および 1.37.2より前の 1.37.xの MediaWiki で XSS の問題が見つかりました。
    メッセージの widthheight、widthheightpage、および nbytes のプロパティは、ギャラリーまたは Special: RevisionDelete で使用されている場合、エスケープされません。(CVE-2022-28202)

  - 1.35.6より前、1.36.4 より前の 1.36.x、および 1.37.2より前の 1.37.xの MediaWiki でサービス拒否の問題が見つかりました。多数のファイルが存在する場合、アクターを条件とする Special: NewFiles のリクエストにより、クエリの実行に非常に長い時間がかかる可能性があります。(CVE-2022-28203)

  - Guzzle は、PHP の HTTP クライアントです。バージョン 6.5.6 および 7.4.3 より前の Guzzle には、Cookie ミドルウェアの脆弱性が含まれています。この脆弱性は、Cookie ドメインと Set-Cookie ヘッダーで Cookie を設定するサーバーのドメインが等しいかどうかをチェックしません。これにより、悪意のあるサーバーが無関係なドメインに Cookie を設定する可能性があります。Cookie ミドルウェアはデフォルトで無効になっているため、ほとんどのライブラリコンシューマーはこの問題の影響を受けません。手動で Cookie ミドルウェアをハンドラスタックに追加するか、['cookies' => true] でクライアントを構築した場合のみ、影響を受けます。また、複数のドメインを呼び出すために同じ Guzzle クライアントを使用せず、リダイレクト転送を無効にしている場合は、この脆弱性の影響を受けません。Guzzle バージョン 6.5.6 および 7.4.3 には、この問題に対するパッチが含まれています。回避策として、Cookie ミドルウェアをオフにしてください。(CVE-2022-29248)

  - Guzzle は、オープンソースの PHP HTTP クライアントです。影響を受けるバージョンでは、リクエストの「Cookie」ヘッダーは機密情報です。「http」スキームのある URI へのリダイレクトで応答するサーバーに対して「https」スキームを使用するリクエストを行うか、別のホストへの URI へのリダイレクトで応答するサーバーへリクエストを行う場合、 「Cookie」ヘッダーを転送しないでください。この修正の前は、Cookie ミドルウェアによって管理されている Cookie のみが安全に削除され、初期リクエストに手動で追加された「Cookie」ヘッダーは削除されませんでした。現在は常にそれを取り除き、Cookie ミドルウェアがそこにあると判断する Cookie を再追加できるようにしています。影響を受ける Guzzle 7 ユーザーは、できるだけ早く Guzzle 7.4.4にアップグレードする必要があります。以前のシリーズの Guzzle を使用している影響を受けるユーザーは、Guzzle 6.5.7または 7.4.4にアップグレードする必要があります。アップグレードできないユーザーは、弊社ではなく独自のリダイレクトミドルウェアを使用する代替アプローチを検討する可能性があります。リダイレクトに従う必要がない、または期待しない場合は、リダイレクトをすべて一緒に無効にしてください。(CVE-2022-31042)

  - Guzzle は、オープンソースの PHP HTTP クライアントです。影響を受けるバージョンでは、リクエストの「Authorization」ヘッダーは機密情報です。「http」スキームのある URI へのリダイレクトで応答するサーバーに対して「https」スキームを使用するリクエストを行う場合、「Authorization」ヘッダーを転送しないでください。これは、ホストが変更された場合にヘッダーで転送しない方法とほとんど同じです。この修正の前は、「https」から「http」へのダウングレードをすると、「Authorization」ヘッダーが削除されず、ホストに対する変更のみが行われていました。
    影響を受ける Guzzle 7 ユーザーは、できるだけ早く Guzzle 7.4.4にアップグレードする必要があります。以前のシリーズの Guzzle を使用している影響を受けるユーザーは、Guzzle 6.5.7または 7.4.4にアップグレードする必要があります。アップグレードできないユーザーは、独自のリダイレクトミドルウェアを使用する代替アプローチを検討することができます。リダイレクトが予期されない、または必要とされない場合、ユーザーはリダイレクトをまとめて無効にすることができます。(CVE-2022-31043)

  - 拡張可能な PHP HTTP クライアント、Guzzle。リクエストの「Authorization」ヘッダーは機密情報です。影響を受けるバージョンでは、Curl ハンドラーを使用する際に、「CURLOPT_HTTPAUTH」オプションを使用して「Authorization」ヘッダーを指定する可能性があります。異なる生成元 (ホスト、スキーム、ポートの変更) の URI へのリダイレクトで応答するリクエストを作成する際に、それに従うことを選択した場合、続行する前に「CURLOPT_HTTPAUTH」オプションを削除し、curl が新しいリクエストに「Authorization」ヘッダーを追加しないようにする必要があります。影響を受ける Guzzle 7 ユーザーは、できるだけ早く Guzzle 7.4.5 にアップグレードする必要があります。以前のシリーズの Guzzle を使用している影響を受けるユーザーは、Guzzle 6.5.8 または 7.4.5 にアップグレードする必要があります。注意: 部分的な修正が Guzzle 7.4.2 で実装されました。ホストの変更により、curl が追加した Authorization ヘッダーの削除がトリガーされますが、この以前の修正はスキームの変更やポートの変更をカバーしていませんでした。リダイレクトに従う必要がない、または期待しない場合は、リダイレクトをすべて一緒に無効にしてください。
    あるいは、curl ではなく Guzzle スチームハンドラーバックエンドを使用するように指定できます。(CVE-2022-31090)

  - 拡張可能な PHP HTTP クライアント、Guzzle。リクエストの「Authorization」および「Cookie」ヘッダーは機密情報です。影響を受けるバージョンでは、異なるポートの URI へのリダイレクトで応答するリクエストを行う際に、フォローすることを選択した場合、含める前にリクエストから「Authorization」ヘッダーと「Cookie」ヘッダーを削除する必要があります。以前は、ホストまたはスキームの変更のみを考慮していました。影響を受ける Guzzle 7 ユーザーは、できるだけ早く Guzzle 7.4.5 にアップグレードする必要があります。以前のシリーズの Guzzle を使用している影響を受けるユーザーは、Guzzle 6.5.8 または 7.4.5 にアップグレードする必要があります。注意: 部分的な修正が Guzzle 7.4.2 で実装されています。ホストの変更により、curl が追加した承認ヘッダーの削除がトリガーされますが、この以前の修正はスキームの変更やポートの変更をカバーしていませんでした。アップグレードできない場合は、代替アプローチとして、弊社ではなく独自のリダイレクトミドルウェアを使用する方法もあります。リダイレクトに従う必要がない、または期待しない場合は、リダイレクトをすべて一緒に無効にしてください。(CVE-2022-31091)

  - 1.35.7 より前、1.37.3 より前の 1.36.x と 1.37.x、および 1.38.1 より前の 1.38.x の MediaWiki で問題が見つかりました。XSS は、JavaScript ペイロードをユーザー名に許可する構成で発生する可能性があります。アカウント作成後、ページタイトルを「ようこそ」に設定し、その後にユーザー名を設定すると、ユーザー名がエスケープされません。
    SpecialCreateAccount: : successfulAction() の呼び出し: : 2 番目のパラメーターとしてのメッセージを含む showSuccessPage()、および OutputPage: : setPageTitle() は text() を使用します。(CVE-2022-34911)

  - 1.37.3より前、1.38.1 より前の 1.38.xの MediaWiki で問題が見つかりました。Special: Contributions で使用される contributions-title は、エスケープせずにページタイトルとして使用されます。したがって、ユーザー名に HTML エンティティが含まれるデフォルト以外の構成では、エスケープされません。(CVE-2022-34912)

  - MediaWiki による報告:  (T292763。CVE-2021-44854) REST API が、プライベート wiki からのオートコンプリート検索結果を不適切にパブリックにキャッシュします。(T271037、CVE-2021-44856) AbuseFilter でブロックされるタイトルは、Special:  ChangeContentModelを介して作成できます。(T297322、CVE-2021-44857) 権限のないユーザーが action=mcrundo を使用して、任意のページのコンテンツを置き換える可能性があります。(T297322、CVE-2021-44858) 権限のないユーザーが、さまざまなアクションを使用してプライベート wiki のコンテンツを表示できます。(T297574、CVE-2021-45038) 権限のないユーザーがロールバックアクションを使用してプライベートな wiki コンテンツにアクセスできます (T293589、CVE-2021-44855) VisualEditor メディアダイアログのブラインド蓄積型 XSS。(T294686) Special: Nuke は実際にはページを削除しません。(CVE-2021-44854、CVE-2021-44855、CVE-2021-44856)

  - MediaWiki による報告:  (T316304、CVE-2022-41767) セキュリティ: reassignEdits が Special: Contributions の IP 範囲チェックの結果を更新しません。(T309894、CVE-2022-41765) セキュリティ: HTMLUserTextField は、非表示のユーザーの存在を漏洩します。(T307278、CVE-2022-41766) セキュリティ:action=rollback で、すでにロールされたメッセージから、削除済みユーザー名の改訂版が漏洩する可能性があります。(CVE-2022-41765、CVE-2022-41767)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Fedora 37 ホストには、FEDORA-2023-30 a7a812f0 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 1.35.5 より前、1.36.3 より前の 1.36.x、および 1.37.1 より前の 1.37.x の MediaWiki で問題が見つかりました。REST API は、プライベート wiki からの結果をパブリックにキャッシュします。(CVE-2021-44854)

  - 1.35.5 より前、1.36.3 より前の 1.36.x、および 1.37.1 より前の 1.37.x の MediaWiki で問題が見つかりました。画像アップロード機能への URL を介した Blind Stored XSS があります。(CVE-2021-44855)

  - 1.35.5 より前、1.36.3 より前の 1.36.x、および 1.37.1 より前の 1.37.x の MediaWiki で問題が見つかりました。EditFilterMergedContent フックの戻り値の不適切な処理により、Special:ChangeContentModel を介して AbuseFilter によってブロックされたタイトルが作成される可能性があります。(CVE-2021-44856)

  - 1.35.8 より前、1.37.5 より前の 1.36.x と 1.37.x、および 1.38.3 より前の 1.38.x の MediaWiki で問題が見つかりました。HTMLUserTextField は、非表示ユーザーの存在を公開します。(CVE-2022-41765)

  - 1.35.8 より前、1.37.5 より前の 1.36.x と 1.37.x、および 1.38.3 より前の 1.38.x の MediaWiki で問題が見つかりました。ある IP アドレスによって行われた変更がユーザーに再割り当てされる場合 (reassignEdits.php を使用)、範囲検索の実行時の変更は引き続き Special:Contributions 上の IP アドレスに関連付けられます。
    (CVE-2022-41767)

  - 1.35.9 より前、1.38.5 より前の 1.36.x から 1.38.x、および 1.39.1 より前の 1.39.x の MediaWiki で問題が見つかりました。アクセス許可が弱い既存のデータディレクトリでインストールした場合、SQLite ファイルはファイルモード 0644、つまりローカルユーザーが誰でも読み取り可能な状態で作成されます。これらのファイルには、認証情報データが含まれています。
    (CVE-2022-47927)

  - 1.39 までの MediaWiki の GrowthExperiments 拡張機能では、growthmanagementorlist API がブロックされたユーザー (ApiManageMentorList でブロックされている) をメンターとして登録したり、メンターシップ関連のプロパティを編集したりする可能性があります。(CVE-2023-22945)

  - 1.35.9 より前、1.38.5 より前の 1.36.x から 1.38.x、および 1.39.1 より前の 1.39.x の MediaWiki で問題が見つかりました。E-Widgets は HTML 属性でウィジェットの置き換えを行いますが、ウィジェットの作者は自分のウィジェットが HTML 属性コンテキストで実行されることを予期していないことが多いため、XSS につながる可能性があります。(CVE-2023-22911)

  - 1.35.9 より前、1.38.5 より前の 1.36.x から 1.38.x、および 1.39.1 より前の 1.39.x の MediaWiki で問題が見つかりました。SpecialMobileHistory は、データベースクエリが遅いため、リモート攻撃者がサービス拒否を引き起こす可能性があります。(CVE-2023-22909)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、0a50bb48-625f-11ec-a1fb-080027cb2f6f のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 1.35.5 より前、1.36.3 より前の 1.36.x、および 1.37.1 より前の 1.37.x の MediaWiki で問題が見つかりました。action=rollback クエリを使用することで、攻撃者はプライベートな wiki のコンテンツを表示できます。(CVE-2021-45038)

  - 1.35.5 より前、1.36.3 より前の 1.36.x、および 1.37.1 より前の 1.37.x の MediaWiki で問題が見つかりました。REST API は、プライベート wiki からの結果をパブリックにキャッシュします。(CVE-2021-44854)

  - 1.35.5 より前、1.36.3 より前の 1.36.x、および 1.37.1 より前の 1.37.x の MediaWiki で問題が見つかりました。画像アップロード機能への URL を介した Blind Stored XSS があります。(CVE-2021-44855)

  - 1.35.5 より前、1.36.3 より前の 1.36.x、および 1.37.1 より前の 1.37.x の MediaWiki で問題が見つかりました。AbuseFilter によってブロックされたタイトルは、Special を介して作成できます: EditFilterMergedContent フックの戻り値の不適切な処理による ChangeContentModel。(CVE-2021-44856)

  - 1.35.5 より前、1.36.3 より前の 1.36.x、および 1.37.1 より前の 1.37.x の MediaWiki で問題が見つかりました。action=mcrundo に続けて action=mcrrestoreを使用し、任意のページのコンテンツを置き換えることができます (ユーザーは編集権限を持っていないページ)。これはパブリック Wiki、または $wgWhitelistReadで少なくとも 1 つのページが設定されているプライベート Wiki に当てはまります。(CVE-2021-44857)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
165710	Debian DSA-5246-1：mediaWiki - セキュリティ更新	Nessus	Debian Local Security Checks	2022/10/5	2023/10/10	high
170691	Fedora 37 : mediawiki (2023-30a7a812f0)	Nessus	Fedora Local Security Checks	2023/1/27	2024/4/29	medium
156224	FreeBSD : mediawiki -- 複数の脆弱性 (0a50bb48-625f-11ec-a1fb-080027cb2f6f)	Nessus	FreeBSD Local Security Checks	2021/12/21	2023/11/22	high

検出

プラグインの検索

high

medium

high