[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]

[debian-users:54544] [Translate] [SECURITY] [DSA-2115-2] New moodle packages fix several vulnerabilities

From: Seiji Kaneko <skaneko@xxxxxxxxxxxx>
Subject: [debian-users:54544] [Translate] [SECURITY] [DSA-2115-2] New moodle packages fix several vulnerabilities
Date: Mon, 11 Oct 2010 19:44:36 +0900
List-help: <mailto:debian-users-ctl@debian.or.jp?body=help>
List-id: debian-users.debian.or.jp
List-owner: <mailto:debian-users-admin@debian.or.jp>
List-post: <mailto:debian-users@debian.or.jp>
List-software: fml [fml 4.0.3 release (20011202/4.0.3)]
List-unsubscribe: <mailto:debian-users-ctl@debian.or.jp?body=unsubscribe>
X-ml-info: If you have a question, send e-mail with the body "help" (without quotes) to the address debian-users-ctl@debian.or.jp; help=<mailto:debian-users-ctl@debian.or.jp?body=help>
X-ml-name: debian-users
X-mlserver: fml [fml 4.0.3 release (20011202/4.0.3)]; post only (only members can post)
X-spam-checker-version: SpamAssassin 3.1.7-deb3 (2006-10-05) on osdn.debian.or.jp
X-spam-level:
X-spam-status: No, score=-1.0 required=10.0 tests=KI,RATWARE_GECKO_BUILD autolearn=disabled version=3.1.7-deb3
Message-id: <4CB2EA92.1060806@xxxxxxxxxxxx>
X-mail-count: 54544
User-agent: Mozilla/5.0 (Macintosh; U; PPC Mac OS X 10.5; ja-JPM; rv:1.9.2.9) Gecko/20100915 Thunderbird/3.1.4

かねこです。
URL 等は Debian-security-announce メーリングリストの元記事を確認
ください。

------>8------------>8------------>8------------>8------------>8-
- ------------------------------------------------------------------------
Debian Security Advisory DSA-2115-2                  security@debian.org
http://www.debian.org/security/                           Florian Weimer
October 11, 2010                      http://www.debian.org/security/faq
- ------------------------------------------------------------------------

Package        : moodle
Vulnerability  : 複数
Problem type   : リモート
Debian-specific: いいえ
CVE Id(s)      : CVE-2010-1613 CVE-2010-1614 CVE-2010-1615 CVE-2010-1616
CVE-2010-1617 CVE-2010-1618 CVE-2010-1619 CVE-2010-2228 CVE-2010-2229 CVE-2010-2230
CVE-2010-2231

DSA-2115-1 では、wwwconfig-common パッケージへの依存関係を指定しないと
いうバグを作り込んでしまいました。この更新では、その問題に対応します。
念のため元の勧告を再掲します。

履修科目管理システム Moodle に、リモートから攻撃可能な複数の問題が発見
されました。The Common Vulnerabilities and Exposures project は以下の問
題を認識しています。

CVE-2010-1613
	Moodle は、標準では「ログイン時にセッションを再作成する」機能
	を有効にしていないため、リモートの攻撃者からのセッション固定攻
	撃が容易になります。

CVE-2010-1614
	複数のクロスサイトスクリプティング攻撃をゆるす欠陥のため、リモ
	ートの攻撃者が任意のウェブスクリプトや HTML を挿入可能です。攻
	撃対象は (1) Login-As 機能関連と (2) グローバルサーチ機能が有
	効な場合、グローバルサーチエンジンのグローバルサーチの詳細未公
	表のフォーム関連です。

CVE-2010-1615
	複数の XQL インジェクション脆弱性のため、リモートの攻撃者が任
	意の SQL コマンドを実行可能です。攻撃対象は (1) wiki モジュール
	の mod/wiki/view.php 中の add_to_log 関数と、
	(2) lib/form/selectgroups.php に関連した「特定のフォーム要素の
	データ検証機能」関係です。

CVE-2010-1616
	Moodle はコースのリストア時に新しいロールを作成可能なため、
	moodle/user:create 権限を持たない教官から新規アカウントを作成可
	能です。

CVE-2010-1617
	user/view.php が適切にロールをチェックしていないため、リモートの
	認証済みのユーザがコースプロファイルページから他のユーザの名前を
	知ることができます。

CVE-2010-1618
	phpCAS クライアントライブラリに複数のクロスサイトスクリプティン
	グ攻撃をゆるす欠陥があり、リモートの攻撃者が細工した URL がエラ
	ーメッセージ中で適切に処理されていないことを悪用して任意のウェブ
	スクリプトや HTML を挿入可能です。

CVE-2010-1619
	KSES HTML テキスト整形ライブラリ (weblib.php) の
	fix_non_standard_entities 関数に複数のクロスサイトスクリプティン
	グ攻撃をゆるす欠陥があり、リモートの攻撃者が未公表のパラメータを
	用いて任意のウェブスクリプトや HTML を挿入可能です。

CVE-2010-2228
	アクセス制御インターフェースに複数のクロスサイトスクリプティング
	攻撃をゆるす欠陥があり、リモートの攻撃者がユーザ名に拡張文字を用
	いる攻撃手法により任意のウェブスクリプトや HTML を挿入可能です。

CVE-2010-2229
	blog/index.php に複数のクロスサイトスクリプティング攻撃をゆるす
	欠陥があり、リモートの攻撃者が未公表のパラメータを用いて任意のウ
	ェブスクリプトや HTML を挿入可能です。

CVE-2010-2230
	KSES HTML テキスト整形フィルタ (lib/weblib.php) が vbscript URI
	を適切に処理していないため、リモートの認証済みのユーザが HTML 入
	力を用いてクロスサイトスクリプティング攻撃を実行可能です。

CVE-2010-2231
	A Cross-site request forgery (CSRF) vulnerability in
	quiz モジュールの report/overview/report.php 関数にクロスサイト
	リクエストフォージェリ (CSRF) をゆるす欠陥があり、リモートの攻撃
	者が任意の認証済みのユーザのセッションを利用して (attemptid パラ
	メータを使い) quiz 試行結果を削除可能です。

このセキュリティ更新では、新しい上流のバージョンに切り変えており、データ
ベースの更新が必要です。修正版のパッケージのインストール後に、
<http://localhost/moodle/admin/> を参照して更新手順に従ってください。

安定版 (stable) ディストリビューション (lenny) では、これらの問題はバージ
ョン 1.8.13-2 で修正されています。

不安定版 (unstable) ディストリビューション (sid) では、これらの問題はバー
ジョン 1.9.9.dfsg2-1 で修正されています。

直ぐに moodle パッケージをアップグレードすることを勧めます。


アップグレード手順
------------------

wget url
        	でファイルを取得できます。
dpkg -i file.deb
                で参照されたファイルをインストールできます。

apt-get パッケージマネージャを用いている場合には、本メールのフッタ記載の
行を sources.list に加えて、

apt-get update
        を実行して内部データベースを更新し、
apt-get upgrade
        によって修正されたパッケージをインストールしてください。

本メールのフッタ記載の設定を自ホストの設定に加えることにより、自動更新を
行うこともできます。


Debian GNU/Linux 5.0 alias lenny
- --------------------------------

ソースアーカイブ:

  http://security.debian.org/pool/updates/main/m/moodle/moodle_1.8.13.orig.tar.gz
    Size/MD5 checksum: 11288160 81b992fa4d53753c7bb30edc727075f4
  http://security.debian.org/pool/updates/main/m/moodle/moodle_1.8.13-2.diff.gz
    Size/MD5 checksum:    28005 205aafd0e7fbfb135332a942097e1187
  http://security.debian.org/pool/updates/main/m/moodle/moodle_1.8.13-2.dsc
    Size/MD5 checksum:     1574 dc38b22bedf7d0340ad36c7a23b1fb07

アーキテクチャに依存しないパッケージ:

  http://security.debian.org/pool/updates/main/m/moodle/moodle_1.8.13-2_all.deb
    Size/MD5 checksum:  9071180 501ea064c29b1c467947475ffb66bde7


  これらのファイルは次の版の安定版リリース時そちらに移されます。


- ---------------------------------------------------------------------------------
For apt-get: deb http://security.debian.org/ stable/updates main
For dpkg-ftp: ftp://security.debian.org/debian-security dists/stable/updates/main
Mailing list: debian-security-announce@lists.debian.org
Package info: `apt-cache show <pkg>' and http://packages.debian.org/<pkg>
------>8------------>8------------>8------------>8------------>8-
-- 
Seiji Kaneko                         skaneko@xxxxxxxxxxxx
---------------------------------------------------------

Prev by Date: [debian-users:54543] d-i非対応NICを積載したPCにlennyをインストールする（長文）
Next by Date: [debian-users:54545] slapd 起動せず　不明なファイル容量
Previous by thread: [debian-users:54547] Re: slapd 起動せず　不明なファイル容量（解決）
Next by thread: [debian-users:54548] AMD 64bit CPU の PAGE_OFFSET ?
Index(es):
- Date
- Thread