Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
Version 2 (25.09.2014):
Für Fedora EPEL 5 steht ein Sicherheitsupdate zur Verfügung, welches
zusätzlich die Schwachstelle CVE-2014-3966 behebt.
Version 1 (19.08.2014):
Neues Advisory

Betroffene Software:

MediaWiki <= 1.19.18 MediaWiki <= 1.22.9 MediaWiki <= 1.23.2 Betroffene Plattformen: Red Hat Fedora 19 Red Hat Fedora 20 Extra Packages for Red Hat Enterprise Linux 5 Durch Ausnutzen dieser Schwachstellen kann ein zumeist entfernter, nicht authentisierter Angreifer verschiedene Angriffe, zu denen Cross-Site-Scripting und Clickjacking zählen, gegen Benutzer von MediaWiki durchführen. Patch: Fedora Security Update FEDORA-2014-9548 https://admin.fedoraproject.org/updates/FEDORA-2014-9548/mediawiki-1.23.2-1.fc19

Patch:

Fedora Security Update FEDORA-2014-9583

https://admin.fedoraproject.org/updates/FEDORA-2014-9583/mediawiki-1.23.2-1.fc20

Patch:

Fedora Security Update FEDORA-EPEL-2014-2853

https://admin.fedoraproject.org/updates/FEDORA-EPEL-2014-2853/mediawiki119-1.19.18-1.el5

CVE-2014-5243: Schwachstelle in MediaWiki erlaubt Clickjacking

Eine Schwachstelle in MediaWiki erlaubt “Copy Prevent-Clickjacking” zwischen
“OutputPage” und “ParserOutput”. Ein entfernter, nicht authentisierter
Angreifer kann diese Schwachstelle ausnutzen, um einen Benutzer auf etwas
anderes klicken zu lassen, als dieser erwartet. Dieses erlaubt dem Angreifer
möglicherweise vertrauliche Informationen auszuspähen oder die Kontrolle
über dessen Computer zu übernehmen.

CVE-2014-5242: Schwachstelle in MediaWiki erlaubt Cross-Site-Scripting

Eine Schwachstelle erlaubt Cross-Site-Scritping (XSS). Ein entfernter, nicht
authentisierter Angreifer kann diese Schwachstelle ausnutzen, indem er einen
Benutzer dazu bringt, auf eine bestimmte URL zu klicken, um beliebige
Java-Skripte ausführen zu lassen.

CVE-2014-5241: Schwachstelle in MediaWiki ermöglicht
Cross-Site-Request-Forgery-Angriffe

Der JSONP Endpunkt in “includes/api/ApiFormatJson.php” in MediaWiki
akzeptiert Callback-Werte einer bestimmten Länge und beschränkt die Anzahl
der intitialen Bytes einer JSONP Antwort nicht. Ein entfernter, nicht
authentifizierter Angreifer kann Cross-Site-Request-Forgery-Angriffe
durchführen und sensible Informationen ausspähen, mithilfe von präparierten
OBJECT-Elementen mit SWF-Inhalt mit einem begrenzten Zeichensatz.

CVE-2014-3966: Cross-Site-Scripting bei aktiviertem wgRawHtml

In der Funktion Special:PasswordReset existiert eine Schwachstelle, die für
Cross-Site-Scripting-Angriffe ausgenutzt werden kann. Hierzu werden Skripte
oder HTML-Anweisungen über ungültige Benutzernamen eingeschleust. Dies ist
allerdings nur möglich, wenn wgRawHtml aktiviert ist.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-1077/

Schwachstelle CVE-2014-3966 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3966

Fedora Security Update FEDORA-2014-9548:
https://admin.fedoraproject.org/updates/FEDORA-2014-9548/mediawiki-1.23.2-1.fc19

Fedora Security Update FEDORA-2014-9583:
https://admin.fedoraproject.org/updates/FEDORA-2014-9583/mediawiki-1.23.2-1.fc20

Schwachstelle CVE-2014-5241 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-5241

Schwachstelle CVE-2014-5242 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-5242

Schwachstelle CVE-2014-5243 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-5243

Fedora Security Update FEDORA-EPEL-2014-2853:
https://admin.fedoraproject.org/updates/FEDORA-EPEL-2014-2853/mediawiki119-1.19.18-1.el5

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.