Nuevas versiones de MediaWiki corrigen diversas vulnerabilidades

Se han publicado nuevas versiones de MediaWiki para las ramas 1.27, 1.26 y 1.23 que corrigen diferentes fallos de seguridad, que podrían permitir a un atacante realizar ataques de cross-site scripting y eludir restricciones de seguridad.

MediaWiki es un software de código abierto de creación de sitios de edición colaborativa de páginas web, comúnmente conocidos como wikis. Entre este tipo de software, MediaWiki es popular por ser el utilizado para alojar y editar los artículos de Wikipedia.

Un problema corregido reside en cross-site scriptings por la codificación del carácter "%" dentro de enlaces internos y en la previsualización de CSS. Otro problema por un error en la API relacionado con la generación de elementos de las cabeceras. Usuarios con permisos de recuperación pueden borrar el estado de una revisión de archivo (incluso si el archivo está eliminado), cuando realmente no tienen permisos para ello. Las cuentas eliminadas no cerraban adecuadamente la sesión, de forma que un usuario autenticado podía seguir accediendo aun  con una cuenta ya cerrada o inexistente. Por último la API podía emplearse para eludir  completamente la extensión Lockdown.

Las nuevas versiones 1.27.1, 1.26.4 y 1.23.15 solucionan estas vulnerabilidades. Pueden descargarse desde:

https://www.mediawiki.org/wiki/Download

Más información:

MediaWiki Release notes 1.27

https://www.mediawiki.org/wiki/Release_notes/1.27

MediaWiki Release notes 1.26

https://www.mediawiki.org/wiki/Release_notes/1.26

MediaWiki Release notes 1.23

https://www.mediawiki.org/wiki/Release_notes/1.23

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero

Cross-site scripting en MediaWiki

Se han publicado nuevas versiones de MediaWiki para las ramas 1.22, 1.21 y 1.19 que corrigen una vulnerabilidad que podría permitir a un atacante realizar ataques cross-site scripting.

MediaWiki es un software de código abierto de creación de sitios de edición colaborativa de páginas web, comúnmente conocidos como wikis. Entre este tipo de software, MediaWiki es popular por ser el utilizado para alojar y editar los artículos de Wikipedia.

El problema, con CVE-2014-3966, reside en que 'Special:PasswordReset' no filtra adecuadamente las entradas del parámetro 'username' antes de mostrar la entrada. Esto podría dar lugar a ataques cross-site scripting. Esto permite a usuarios remotos la ejecución de código script en el navegador del usuario. Con ello el atacante podría acceder a las cookies (incluyendo las de autenticación) y a información recientemente enviada, además de poder realizar acciones en el sitio haciéndose pasar por la víctima.

Se encuentran disponibles en el sitio oficial de MediaWiki las nuevas versiones 1.19.16, 1.21.10 y 1.22.7 que solucionan este problema.

Más información:

[MediaWiki-announce] MediaWiki Security and Maintenance Releases: 1.19.16, 1.21.10 and 1.22.7

http://lists.wikimedia.org/pipermail/mediawiki-announce/2014-May/000151.html

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero

Nueva versión de MediaWiki corrige dos vulnerabilidades

Se han publicado nuevas versiones de MediaWiki para las ramas 1.20 y 1.19 que corrigen dos fallos de seguridad entre otros bugs. Estos podrían permitir a un atacante realizar ataques cross-site scripting y eludir restricciones de seguridad.

MediaWiki es un software de código abierto de creación de sitios de edición colaborativa de páginas web, comúnmente conocidos como wikis. Entre este tipo de software, MediaWiki es popular por ser el utilizado para alojar y editar los artículos de Wikipedia.

En primer lugar, Jan Schejbalm, de Hatforce, ha descubierto un error en el filtro para ficheros Scalable Vector Graphics (SVG). Este tipo de archivos puede contener código en un lenguaje de scripting (por ejemplo, JavaScript), normalmente para generar animaciones, pero que también podría ser malicioso. Cuando un SVG se sube a MediaWiki, este filtro procesa su código para asegurarse de que no contiene código JavaScript.

Sin embargo, usando la codificación UTF-7 se puede eludir este filtro. MediaWiki aceptará el fichero como válido, y los navegadores interpretarán y ejecutarán el código dentro de ella sin problemas, tratándola como UTF-8. Esto podría dar lugar a ataques cross-site scripting. Se ha probado el problema tanto en Chrome como en Firefox. Aquí puede verse una prueba de concepto:

http://upload.wikimedia.org/wikipedia/test/archive/4/4f/20130415163012!Test-active.svg

La solución ha sido crear una lista blanca de codificaciones aceptadas, ya que después de un estudio, se ha comprobado que casi el 100% de los SVG en WikiMedia Commons tiene codificación utf-8 o iso-8859-1.

La segunda vulnerabilidad, encontrada por Ryan Lane, se debe a la falta de un método consistente para manejar el bloqueo de reseteo de contraseñas a través de las extensiones. Esto puede provocar que en algunos casos se pueda cambiar la contraseña aun habiendo bloqueado esta posibilidad. Si un atacante tuviera acceso al correo de la víctima, podría eludir la autenticación de doble factor.

Se ha asignado los identificadores CVE-2013-2031 y CVE-2013-2032, respectivamente. Las nuevas versiones 1.20.5 (rama actual) y 1.19.6 (LTS) ya incorporan la solución a estas vulnerabilidades. Pueden ser descargadas del sitio oficial de MediaWiki.

Más información:

MediaWiki Release notes

https://www.mediawiki.org/wiki/Release_notes/1.20

https://www.mediawiki.org/wiki/Release_notes/1.19

WikiMedia Bugzilla

https://bugzilla.wikimedia.org/show_bug.cgi?id=47304

https://bugzilla.wikimedia.org/show_bug.cgi?id=46590

Francisco López

flopez@hispasec.com

Múltiples vulnerabilidades en MediaWiki

Se han publicado múltiples vulnerabilidades en MediaWiki para las versiones anteriores a 1.17.3 y 1.18.2 que podrían ser aprovechadas por un atacante remoto para causar distintos impactos.
 

MediaWiki es software libre para la creación de wikis. Originalmente este proyecto fue creado para Wikipedia. Los errores son los detallados a continuación.

• Un error en el módulo de boqueo y desbloqueo podría permitir a un atacante remoto sin privilegios bloquear y desbloquear a otros usuarios a través de un ataque Cross-site request forgery (CSRF).
    
• Un error en el gestor de recursos podría permitir cargar el módulo "user.tokens" y revelar información sensible. Esto podría ser aprovechado por un atacante remoto para robar el token de usuario comprometiendo.
     
• Un error en "Special:Upload" podría permitir subir archivos sin la interacción del usuario, afectando la integridad del sitio vulnerado a través de un ataque Cross-site request forgery (CSRF).
    
• Un error a forma de generar de números aleatorios podría permitir a un atacante remoto resetear el correo de la víctima a través de un ataque de generación de números pseudo-aleatorios (PRNG).
     
• Un error en el analizador de texto en la extensión CharInsert podría causar una denegación de servicio de bucle infinito, y potencialmente, la ejecución de scripts aleatorios a través de un ataque cross.-site scripting.

Los errores están subsanados y las versiones corregidas se pueden descargar desde su página oficial http://dumps.wikimedia.org/mediawiki/

Más información:

MediaWiki-announce

http://lists.wikimedia.org/pipermail/mediawiki-announce/2012-March/000109.html

Jose Ignacio Palacios Ortega

jipalacios@hispasec.com

Twitter: @jpalaciosortega