blob: ea4f893b3024134d35879a519722d1e22f115a08 (
plain) (
blame)
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
|
#use wml::debian::translation-check translation="7a5c26245e818a99000bf9a1732df7a7e0d36ae7"
<define-tag description>セキュリティ更新</define-tag>
<define-tag moreinfo>
<p>複数のセキュリティ問題がウェブ上のブログ管理ツール Wordpress
に確認されています。サービス拒否や情報漏洩につながります。
さらなる情報が上流の勧告にあります:
<url "https://wordpress.org/news/2014/11/wordpress-4-0-1/" /></p>
<ul>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2014-9031">CVE-2014-9031</a>
<p>Jouko Pynnonen さんが wptexturize() にクロスサイトスクリプティング脆弱性
(XSS) を発見しています。コメントや投稿を経由し、認証不要で悪用可能です。</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2014-9033">CVE-2014-9033</a>
<p>パスワード変更プロセスにクロスサイトリクエストフォージェリ
(CSRF) 脆弱性があり、攻撃者が悪用してユーザを騙し、
パスワードを変えさせることが可能です。</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2014-9034">CVE-2014-9034</a>
<p>Javier Nieto Arevalo さんと Andres Rojas Guerrero
さんが、phpass ライブラリをパスワードの処理に利用している方法で
パスワードの最大長が設定されていないことによる、
潜在的なサービス拒否を報告しています。</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2014-9035">CVE-2014-9035</a>
<p>John Blackbourn さんが、<q>Press This</q>機能
(ブラウザの<q>ブックマークレット</q>を利用してすぐ公開する機能)
に XSS を報告しています。</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2014-9036">CVE-2014-9036</a>
<p>Robert Chapin さんが、投稿内容の CSS に対する HTML
フィルター処理に XSS を報告しています。</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2014-9037">CVE-2014-9037</a>
<p>David Anderson さんが、旧式の MD5
スキームを利用した保存されているパスワードのハッシュ比較に脆弱性を報告しています。
これを悪用してアカウントを侵害することは不可能なようですが、ユーザが
Wordpress 2.5 への更新 (Debian には2008年4月2日にアップロード)
以後にログインしていない場合は PHP の動的比較が元でパスワードの
MD5 ハッシュが衝突する可能性があります。</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2014-9038">CVE-2014-9038</a>
<p>Ben Bidner さんがコアの HTTP 層にサーバサイドリクエストフォージェリ (SSRF)
を報告しています。ループバック IP アドレス空間を十分にブロックしていません。</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2014-9039">CVE-2014-9039</a>
<p>Momen Bassel さんと Tanoy Bose さん、Bojan Slavkovic
さんがパスワードリセットプロセスに脆弱性を報告しています:
メールアドレスの変更処理で前のパスワードリセットのメールを失効させていません。</p></li>
</ul>
<p>安定版 (stable) ディストリビューション (wheezy)
では、この問題はバージョン 3.6.1+dfsg-1~deb7u5 で修正されています。</p>
<p>次期安定版 (stable) ディストリビューション (jessie)
では、この問題はバージョン 4.0.1+dfsg-1 で修正されています。</p>
<p>不安定版 (unstable) ディストリビューション (sid)
では、この問題はバージョン 4.0.1+dfsg-1 で修正されています。</p>
<p>直ちに wordpress パッケージをアップグレードすることを勧めます。</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/security/2014/dsa-3085.data"
|
