2009年8月27日

[debian-users:52889] [Translate] [SECURITY] [DSA 1871-2] New wordpress packages fix regression

かねこです。
URL 等は Debian-security-announce メーリングリストの元記事を確認
ください。

------>8------------>8------------>8------------>8------------>8-
- ------------------------------------------------------------------------
Debian Security Advisory DSA-1871-2 security@xxxxx
http://www.debian.org/security/ Steffen Joeris

August 27, 2009 http://www.debian.org/security/faq
- ------------------------------------------------------------------------


Package : wordpress
Vulnerability : 複数の欠陥
Problem type : リモート
Debian-specific: いいえ
CVE IDs : CVE-2008-6762 CVE-2008-6767 CVE-2009-2334 CVE-2009-2854
CVE-2009-2851 CVE-2009-2853 CVE-2008-1502 CVE-2008-4106
CVE-2008-4769 CVE-2008-4796 CVE-2008-5113
Debian Bugs : 531736 536724 504243 500115 504234 504771


以前の wordpress の修正には、CVE-2008-4769 の修正でバックポートされていな
い関数を使っていたという不具合がありました。この問題は、旧安定版にのみ存
在します。念のため元の勧告を再掲します。

ウェブログマネージャ wordpress に、複数の問題が発見されました。The Common
Vulnerabilities and Exposures project は以下の問題を認識しています。


CVE-2008-6762

wordpress にリダイレクト攻撃を許す欠陥があるため、リモートの攻撃者からの
フィッシング攻撃が可能であることが発見されました。

CVE-2008-6767

リモートの攻撃者からアプリケーションアップグレードを実行可能なため、サー
ビス拒否攻撃を実行可能であることが発見されました。

CVE-2009-2334

wordpress のプラグイン設定に認証機能が欠けているため、機密情報の漏洩の可
能性があることが発見されました。

CVE-2009-2854

wordpress の様々な処理に認証機能が欠けているため、リモートの攻撃者が認証
を経ない様々な編集と追記が可能であることが発見されました。

CVE-2009-2851

管理者インターフェースにクロスサイトスクリプティング攻撃を許す欠陥がある
ことが発見されました。

CVE-2009-2853

It was discovered that リモートの攻撃者がある種の直接リクエストで特権の
昇格が可能であることが発見されました。

CVE-2008-1502

wordpress で使用している KSES の _bad_protocol_once 関数に、リモートの攻
撃者からのクロスサイトスクリプティング攻撃を許す欠陥があることが発見され
ました。

CVE-2008-4106

wordpress にユーザ情報周りでのチェックの不足があるため、攻撃者によりユー
ザのパスワードを変更可能であることが発見されました。

CVE-2008-4769

get_category_template 関数にディレクトリトラバーサル欠陥があるため、任意
のコードが実行可能であることが発見されました。

CVE-2008-4796

埋め込まれた snoopy 版の _httpsrequest 関数に、https URL 中のシェルメタ
キャラクタを使って任意のコードの実行を行える欠陥が発見されました。

CVE-2008-5113

wordpress が REQUEST superglobal 配列の内容を特定の危険な状況で信用して
いるため、細工されたクッキーによる攻撃が容易になっていることが発見され
ました。

安定版 (stable) ディストリビューション (lenny) では、これらの問題はバー
ジョン 2.5.1-11+lenny1 で修正されています。

旧安定版 (oldstable) ディストリビューション (etch) では、これらの問題は
バージョン 2.0.10-1etch5 で修正されています。

テスト版 (squeeze) および不安定版 (unstable) ディストリビューションでは、
これらの問題はバージョン 2.8.3-1 で修正されています。


直ぐに wordpress パッケージをアップグレードすることを勧めます。

アップグレード手順
------------------

wget url
でファイルを取得できます。
dpkg -i file.deb
で参照されたファイルをインストールできます。

apt-get パッケージマネージャを用いている場合には、本メールのフッタ記載の
行を sources.list に加えて、

apt-get update
を実行して内部データベースを更新し、
apt-get upgrade
によって修正されたパッケージをインストールしてください。

本メールのフッタ記載の設定を自ホストの設定に加えることにより、自動更新を
行うこともできます。


Debian GNU/Linux 4.0 alias etch
- -------------------------------

Debian (old stable)
- ------------------

旧安定版の更新は、alpha, amd64, arm, armel, hppa, i386, ia64, mips, mipsel,
powerpc, s390 および sparc の各アーキテクチャで提供されています。
.
ソースアーカイブ:

http://security.debian.org/pool/updates/main/w/wordpress/wordpress_2.0.10-1etch5.dsc
Size/MD5 checksum: 607 303f4e7e168c04dddd64ae2b7300337e
http://security.debian.org/pool/updates/main/w/wordpress/wordpress_2.0.10.orig.tar.gz
Size/MD5 checksum: 520314 e9d5373b3c6413791f864d56b473dd54

http://security.debian.org/pool/updates/main/w/wordpress/wordpress_2.0.10-1etch5.diff.gz
Size/MD5 checksum: 51120 9dcee118356aa6950bd4b994b6c11def

アーキテクチャに依存しないパッケージ:


http://security.debian.org/pool/updates/main/w/wordpress/wordpress_2.0.10-1etch5_all.deb
Size/MD5 checksum: 521174 18a19046fd5707ea64745818a5a673f6


これらのファイルは次の版の安定版リリース時そちらに移されます。


- ---------------------------------------------------------------------------------
For apt-get: deb http://security.debian.org/ stable/updates main
For dpkg-ftp: ftp://security.debian.org/debian-security dists/stable/updates/main
Mailing list: debian-security-announce@xxxxx
Package info: `apt-cache show <pkg>' and http://packages.debian.org/<;pkg>
------>8------------>8------------>8------------>8------------>8-
--
Seiji Kaneko skaneko@xxxxx
---------------------------------------------------------

投稿者 xml-rpc : 2009年8月27日 23:20
役に立ちました?:
過去のフィードバック 平均:(0) 総合:(0) 投票回数:(0)
本記事へのTrackback: http://hoop.euqset.org/blog/mt-tb2006.cgi/87959
トラックバック
コメント
コメントする




画像の中に見える文字を入力してください。