DSA-2891-1 mediawiki, mediawiki-extensions -- обновление безопасности

Высокая (7.5)

(AV:N/AC:L/Au:N/C:P/I:P/A:P)

Debian

mediawiki (any) mediawiki-extensions (any)

В MediaWiki,движке wiki, были обнаружены несколько уязвимостей.
Проект Common Vulnerabilities and Exposures определяет следующие
проблемы:

CVE-2013-2031
Атака с помощью межсайтового скриптинга через корректные кодированные в UTF-7 последовательности
    в файле формата SVG.
CVE-2013-4567
    & CVE-2013-4568
Кевин Израиль (пользователь Wikipedia с логином PleaseStand) сообщил о двух способах
    ввода кода на Javascript из-за неполного списка отклонений в
    функции очистки CSS.
CVE-2013-4572
MediaWiki и расширение CentralNotice некорректно устанавливали
    заголовки кэша при автоматическом создании пользователя, что приводило к кэшированию
    файлов куки пользовательской сессии и возврату их другим пользователям.
CVE-2013-6452
Крис из RationalWiki сообщил, что могут быть загружены файлы SVG,
    включающие в себя внешние стили, что может приводить к
    XSS при использовании XSL с JavaScript.
CVE-2013-6453
Функция MediaWiki для очистки SVG можно обойти в случае, если XML
    считается некорректным.
CVE-2013-6454
Функция MediaWiki для очистки CSS не фильтрует атрибуты -o-link,
    что может использоваться для выполнения JavaScript в Opera 12.
CVE-2013-6472
MediaWiki отображает некоторую информацию об удалённых страницах в
    журнале API, расширенных RecentChanges и пользовательских списках наблюдения.
CVE-2014-1610
Имеется возможность удалённого выполнения кода в случае, если включена поддержка
    загрузки DjVu (обрабатывается собственными средствами) или PDF файлов (в
    комбинации с расширением PdfHandler).
    По умолчанию ни один из этих типов файлов не включён в MediaWiki.
CVE-2014-2665
Подделка межсайтового запроса в форме ввода данных учётной записи: атакующий может войти
    с помощью учётной записью жертвы так, чтобы она казалась атакующим.

В стабильном выпуске (wheezy) эти проблемы были исправлены в
версии 1:1.19.14+dfsg-0+deb7u1 пакеты mediawiki и версии 3.5~deb7u1
пакета mediawiki-extensions.
В нестабильном выпуске (sid) эти проблемы были исправлены в
версии 1:1.19.14+dfsg-1 пакета mediawiki и версии 3.5 пакета
mediawiki-extensions.
Рекомендуется обновить пакеты mediawiki.

Проблема может быть решена обновлением операционной системы до следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 7:
noarch:
mediawiki - 1:1.19.14+dfsg-0+deb7u1
mediawiki-extensions - 3.5~deb7u1

http://www.debian.org/security/dsa-2891/

Источник: CVE
Наименование: CVE-2013-4568
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-4568

Источник: CVE
Наименование: CVE-2013-4572
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-4572

Источник: CVE
Наименование: CVE-2013-6452
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-6452

Источник: CVE
Наименование: CVE-2013-6453
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-6453

Источник: CVE
Наименование: CVE-2013-6454
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-6454

Источник: CVE
Наименование: CVE-2014-1610
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-1610

Источник: CVE
Наименование: CVE-2013-4567
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-4567

Источник: CVE
Наименование: CVE-2013-6472
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-6472

Источник: CVE
Наименование: CVE-2013-2031
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-2031