Debian DLA-1151-2：wordpress 迴歸更新

high Nessus Plugin ID 104300

語系：

概要

遠端 Debian 主機缺少一個安全性更新。

說明

發佈為 DLA-1151-1 的 CVE-2017-14990 修正不完整，會造成迴歸問題。發現有必要進行額外的資料庫升級和進一步的程式碼變更。但在當時認為這些變更侵入性過強，因而再次移除 CVE-2017-14990 的初始修補程式。原始公告文字如下，僅供參考。WordPress 儲存明文的 wp_signups.activation_key 值 (但類似的 wp_users.user_activation_key 值卻儲存為雜湊值)，使得遠端攻擊者可輕易地利用資料庫的讀取權限 (如透過不明 SQL 插入弱點取得的存取權)，藉此劫持未啟動的使用者帳號。針對 Debian 7「Wheezy」，這些問題已在 3.6.1+dfsg-1~deb7u19 版本中修正。建議您升級 wordpress 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

解決方案

升級受影響的 wordpress 和 wordpress-l10n 套件。

另請參閱

https://lists.debian.org/debian-lts-announce/2017/11/msg00015.html

https://packages.debian.org/source/wheezy/wordpress

Plugin 詳細資訊

嚴重性: High

ID: 104300

檔案名稱: debian_DLA-1151.nasl

版本: 3.4

類型: local

代理程式: unix

系列: Debian Local Security Checks

已發布: 2017/11/1

已更新: 2021/1/11

支援的感應器: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus

弱點資訊

CPE: p-cpe:/a:debian:debian_linux:wordpress, p-cpe:/a:debian:debian_linux:wordpress-l10n, cpe:/o:debian:debian_linux:7.0

必要的 KB 項目: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

修補程式發佈日期: 2017/11/12