Debian DSA-2246-1 : mahara - 數個弱點

medium Nessus Plugin ID 55034

語系：

概要

遠端 Debian 主機缺少安全性更新。

說明

在電子公事包、網誌和履歷製作工具 Mahara 中發現數個弱點。Common Vulnerabilities and Exposures 專案發現下列問題：

- CVE-2011-1402 據發現，先前版本的 Mahara 在新增機密 URL 至檢視或暫停使用者之前，並未先檢查使用者認證。

- CVE-2011-1403 由於 Mahara 中的 Pieform 套件的錯誤組態，Mahara 仰賴用來強化其表單的跨網站要求偽造保護機制並未運作，且基本上已停用。這是一個重大弱點，可讓攻擊者誘騙其他使用者 (例如系統管理員) 代表攻擊者執行惡意動作。
多數 Mahara 表單皆容易受影響。

- CVE-2011-1404 Mahara 針對其 AJAX 互動所傳回的許多 JSON 結構包含的資訊比應該揭露給已登入使用者的資訊更多。新版的 Mahara 會將此資訊限制為每頁必要資訊。

- CVE-2011-1405 先前版本的 Mahara 並未逸出傳送給使用者的 HTML 電子郵件內容。根據使用者郵件閱讀器啟用的篩選器而定，這可導致跨網站指令碼攻擊。

- CVE-2011-1406 有人向我們指出，如果 Mahara (透過其 wwwroot 變數) 設定為使用 HTTPS，加上如果 web 伺服器設定為透過兩個通訊協定提供內容，恰好可讓使用者透過網站的 HTTP 版本登入。當 wwwroot 指向 HTTPS URL 時，如果 Mahara 偵測到正在透過 HTTP 執行時，則新版的 Mahara 將會自動重新導向到 HTTPS。

我們建議，需要透過 HTTPS 執行 Mahara 的網站確認其 web 伺服器組態未允許透過 HTTP 提供內容，而且僅重新導向到安全版本。我們也建議網站系統管理員考慮新增 HSTS 標頭至其 web 伺服器組態中。