Mandriva Linux 安全公告：dokuwiki (MDVSA-2015:185)

medium Nessus 插件 ID 82485

语言：

简介

远程 Mandriva Linux 主机缺少安全更新。

描述

更新后的 dokuwiki 程序包修复了安全漏洞：

版本低于 2014-05-05a 的 DokuWiki 中的 inc/template.php 仅检查根命名空间的访问权限，这允许远程攻击者通过媒体文件详情 ajax 调用来访问任意图像 (CVE-2014-8761)。

版本低于 2014-05-05a 的 DokuWiki 中的 ajax_mediadiff 函数允许远程攻击者通过 ns 参数中构建的命名空间访问任意图像 (CVE-2014-8762)。

使用 Active Directory 进行 LDAP 认证时，版本低于 2014-05-05b 的 DokuWiki 允许远程攻击者通过以空 (\0) 字符开头的密码和有效用户名来触发未经认证的绑定，从而绕过认证 (CVE-2014-8763)。

使用 Active Directory 进行 LDAP 认证时，2014-05-05a 和更早版本的 DokuWiki 允许远程攻击者通过用户名和以空 (\0) 字符开头的密码来触发匿名绑定，从而绕过认证 (CVE-2014-8764)。

dokuwiki-2014-09-29a 默认情况下允许 swf (application/x-shockwave-flash) 上传。该漏洞可用于跨站脚本 (XSS) 攻击，可使攻击者将客户端脚本注入其他用户查看的网页中。(CVE-2014-9253)。

dokuwiki-2014-09-29b 热修复源码默认情况下禁用 swf 上传，并修复了 CVE-2014-9253 问题。

在 ACL 插件远程 API 组件中，版本低于 20140929c 的 DokuWiki 中存在安全问题。在执行 ACL 添加或删除之前，插件无法检查超级用户权限。这表示每个具有调用 XMLRPC API 的权限的人也有权设置其自己的 ACL 规则，因此可以避开任何现有规则 (CVE-2015-2172)。

版本低于 20140929d 的 DokuWiki 容易受到用户管理器中跨站脚本 (XSS) 问题的影响。在用户管理器编辑表单中，未正确转义用户的详细信息。这允许注册用户编辑其自己的名称（使用更改配置文件选项），从而包含恶意 JavaScript 代码。超级用户尝试通过用户管理器编辑用户时，会执行该代码。