Debian DSA-2246-1：mahara - 多个漏洞

medium Nessus 插件 ID 55034

语言：

简介

远程 Debian 主机缺少与安全相关的更新。

描述

在 Mahara（一款电子产品组合、网络博客和简历生成器）中发现多种漏洞。通用漏洞和暴露计划识别以下问题：

- CVE-2011-1402 已发现之前版本的 Mahara 在添加秘密 URL 到视图或暂停用户之前，并未先检查用户凭据。

- CVE-2011-1403 由于 Mahara 中 Pieform 程序包的错误配置，Mahara 用于强化其表单的跨站请求伪造保护机制并未运作，且基本上已禁用。这是一个危急漏洞，可允许攻击者诱骗其他用户（例如系统管理员）代表攻击者执行恶意操作。
许多 Mahara 表单皆容易受影响。

- CVE-2011-1404 Mahara 针对其 AJAX 互动所返回的许多 JSON 结构包含的信息比应该揭露给已登录用户的信息更多。新版的 Mahara 将此信息限制为每页必需的信息。

- CVE-2011-1405 之前版本的 Mahara 并未转义发送给用户的 HTML 电子邮件的内容。视用户邮件阅读器上启用的过滤器而定，这可导致跨站脚本攻击。

- CVE-2011-1406 有人向我们指出，如果 Mahara（通过其 wwwroot 变量）配置为使用 HTTPS，则可让用户通过该站点的 HTTP 版本轻松登录，条件是 Web 服务器配置为通过两个协议提供内容。当 wwwroot 指向 HTTPS URL 时，如果新版的 Mahara 检测到其正在通过 HTTP 运行，则会自动重定向到 HTTPS。

我们建议，需要通过 HTTPS 运行 Mahara 的站点确保其 Web 服务器配置未允许通过 HTTP 提供内容，而且仅重定向到安全版本。我们也建议站点系统管理员考虑添加 HSTS 标头至其 Web 服务器配置中。