[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]

[debian-users:52889] [Translate] [SECURITY] [DSA 1871-2] New wordpress packages fix regression

From: Seiji Kaneko <skaneko@xxxxxxxxxxxx>
Subject: [debian-users:52889] [Translate] [SECURITY] [DSA 1871-2] New wordpress packages fix regression
Date: Thu, 27 Aug 2009 23:20:22 +0900
List-help: <mailto:debian-users-ctl@debian.or.jp?body=help>
List-id: debian-users.debian.or.jp
List-owner: <mailto:debian-users-admin@debian.or.jp>
List-post: <mailto:debian-users@debian.or.jp>
List-software: fml [fml 4.0.3 release (20011202/4.0.3)]
List-unsubscribe: <mailto:debian-users-ctl@debian.or.jp?body=unsubscribe>
X-ml-info: If you have a question, send e-mail with the body "help" (without quotes) to the address debian-users-ctl@debian.or.jp; help=<mailto:debian-users-ctl@debian.or.jp?body=help>
X-ml-name: debian-users
X-mlserver: fml [fml 4.0.3 release (20011202/4.0.3)]; post only (only members can post)
X-spam-checker-version: SpamAssassin 3.1.7-deb3 (2006-10-05) on osdn.debian.or.jp
X-spam-level:
X-spam-status: No, score=-2.4 required=10.0 tests=KI autolearn=disabled version=3.1.7-deb3
Message-id: <4A969620.8050706@xxxxxxxxxxxx>
X-mail-count: 52889
User-agent: Mozilla/5.0 (Macintosh; U; PPC Mac OS X 10.5; ja-JPM; rv:1.9.1.3pre) Gecko/20090817 Shredder/3.0b4pre

かねこです。
URL 等は Debian-security-announce メーリングリストの元記事を確認
ください。

------>8------------>8------------>8------------>8------------>8-
- ------------------------------------------------------------------------
Debian Security Advisory DSA-1871-2                  security@debian.org
http://www.debian.org/security/                      Steffen Joeris
August 27, 2009                       http://www.debian.org/security/faq
- ------------------------------------------------------------------------


Package        : wordpress
Vulnerability  : 複数の欠陥
Problem type   : リモート
Debian-specific: いいえ
CVE IDs        : CVE-2008-6762 CVE-2008-6767 CVE-2009-2334 CVE-2009-2854
                 CVE-2009-2851 CVE-2009-2853 CVE-2008-1502 CVE-2008-4106
                 CVE-2008-4769 CVE-2008-4796 CVE-2008-5113
Debian Bugs    : 531736 536724 504243 500115 504234 504771


以前の wordpress の修正には、CVE-2008-4769 の修正でバックポートされていな
い関数を使っていたという不具合がありました。この問題は、旧安定版にのみ存
在します。念のため元の勧告を再掲します。

ウェブログマネージャ wordpress に、複数の問題が発見されました。The Common
Vulnerabilities and Exposures project は以下の問題を認識しています。


CVE-2008-6762

wordpress にリダイレクト攻撃を許す欠陥があるため、リモートの攻撃者からの
フィッシング攻撃が可能であることが発見されました。

CVE-2008-6767

リモートの攻撃者からアプリケーションアップグレードを実行可能なため、サー
ビス拒否攻撃を実行可能であることが発見されました。

CVE-2009-2334

wordpress のプラグイン設定に認証機能が欠けているため、機密情報の漏洩の可
能性があることが発見されました。

CVE-2009-2854

wordpress の様々な処理に認証機能が欠けているため、リモートの攻撃者が認証
を経ない様々な編集と追記が可能であることが発見されました。

CVE-2009-2851

管理者インターフェースにクロスサイトスクリプティング攻撃を許す欠陥がある
ことが発見されました。

CVE-2009-2853

It was discovered that リモートの攻撃者がある種の直接リクエストで特権の
昇格が可能であることが発見されました。

CVE-2008-1502

wordpress で使用している KSES の _bad_protocol_once 関数に、リモートの攻
撃者からのクロスサイトスクリプティング攻撃を許す欠陥があることが発見され
ました。

CVE-2008-4106

wordpress にユーザ情報周りでのチェックの不足があるため、攻撃者によりユー
ザのパスワードを変更可能であることが発見されました。

CVE-2008-4769

get_category_template 関数にディレクトリトラバーサル欠陥があるため、任意
のコードが実行可能であることが発見されました。

CVE-2008-4796

埋め込まれた snoopy 版の _httpsrequest 関数に、https URL 中のシェルメタ
キャラクタを使って任意のコードの実行を行える欠陥が発見されました。

CVE-2008-5113

 wordpress が REQUEST superglobal 配列の内容を特定の危険な状況で信用して
 いるため、細工されたクッキーによる攻撃が容易になっていることが発見され
 ました。

安定版 (stable) ディストリビューション (lenny) では、これらの問題はバー
ジョン 2.5.1-11+lenny1 で修正されています。

旧安定版 (oldstable) ディストリビューション (etch) では、これらの問題は
バージョン 2.0.10-1etch5 で修正されています。

テスト版 (squeeze) および不安定版 (unstable) ディストリビューションでは、
これらの問題はバージョン 2.8.3-1 で修正されています。


直ぐに wordpress パッケージをアップグレードすることを勧めます。



アップグレード手順
------------------

wget url
        	でファイルを取得できます。
dpkg -i file.deb
                で参照されたファイルをインストールできます。

apt-get パッケージマネージャを用いている場合には、本メールのフッタ記載の
行を sources.list に加えて、

apt-get update
        を実行して内部データベースを更新し、
apt-get upgrade
        によって修正されたパッケージをインストールしてください。

本メールのフッタ記載の設定を自ホストの設定に加えることにより、自動更新を
行うこともできます。


Debian GNU/Linux 4.0 alias etch
- -------------------------------

Debian (old stable)
- ------------------

旧安定版の更新は、alpha, amd64, arm, armel, hppa, i386, ia64, mips, mipsel,
powerpc, s390 および sparc の各アーキテクチャで提供されています。
 .
ソースアーカイブ:

  http://security.debian.org/pool/updates/main/w/wordpress/wordpress_2.0.10-1etch5.dsc
    Size/MD5 checksum:      607 303f4e7e168c04dddd64ae2b7300337e
  http://security.debian.org/pool/updates/main/w/wordpress/wordpress_2.0.10.orig.tar.gz
    Size/MD5 checksum:   520314 e9d5373b3c6413791f864d56b473dd54

http://security.debian.org/pool/updates/main/w/wordpress/wordpress_2.0.10-1etch5.diff.gz
    Size/MD5 checksum:    51120 9dcee118356aa6950bd4b994b6c11def

アーキテクチャに依存しないパッケージ:


http://security.debian.org/pool/updates/main/w/wordpress/wordpress_2.0.10-1etch5_all.deb
    Size/MD5 checksum:   521174 18a19046fd5707ea64745818a5a673f6


  これらのファイルは次の版の安定版リリース時そちらに移されます。


- ---------------------------------------------------------------------------------
For apt-get: deb http://security.debian.org/ stable/updates main
For dpkg-ftp: ftp://security.debian.org/debian-security dists/stable/updates/main
Mailing list: debian-security-announce@lists.debian.org
Package info: `apt-cache show <pkg>' and http://packages.debian.org/<pkg>
------>8------------>8------------>8------------>8------------>8-
-- 
Seiji Kaneko                         skaneko@xxxxxxxxxxxx
---------------------------------------------------------

Prev by Date: [debian-users:52888] [Translate] [SECURITY] [DSA 1874-1] New nss packages fix several vulnerabilities
Next by Date: [debian-users:52890] Re: Karnel Panic （元・・・Startupmanagerでの「緊急起動ディスク」の作成がエラーになる）
Previous by thread: [debian-users:52888] [Translate] [SECURITY] [DSA 1874-1] New nss packages fix several vulnerabilities
Next by thread: [debian-users:52898] ご報告: lenny KANA 'む' is 無無無 ?
Index(es):
- Date
- Thread