PT-2022-18872 · Mediawiki+1 · Mediawiki+1

Amir Sarabadani + 1 · Publicado 2022-04-18 · Atualizado 2024-03-06 · CVE-2022-28203

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do MediaWiki anteriores à 1.35.6

Versões do MediaWiki 1.36.x anteriores à 1.36.4

Versões do MediaWiki 1.37.x anteriores à 1.37.2

Descrição

Foi descoberta uma vulnerabilidade de negação de serviço no MediaWiki. Quando existem muitos arquivos, solicitar Special:NewFiles com actor como condição pode resultar em uma consulta de execução muito demorada.

Recomendações

Para versões do MediaWiki anteriores à 1.35.6, atualize para a versão 1.35.6 ou posterior.

Para versões do MediaWiki 1.36.x anteriores à 1.36.4, atualize para a versão 1.36.4 ou posterior.

Para versões do MediaWiki 1.37.x anteriores à 1.37.2, atualize para a versão 1.37.2 ou posterior.

Como solução temporária, considere restringir o acesso à página Special:NewFiles com a condição actor até que um patch esteja disponível.

Exploit

Correção

DoS

Enumeração de Fraquezas

CWE-763

Identificadores relacionados

ALT-PU-2022-2140

ALT-PU-2022-2428

BIT-MEDIAWIKI-2022-28203

CVE-2022-28203

DLA-3117-1

DSA-5246-1

MGASA-2022-0145

Produtos afetados

Alt Linux

Mediawiki

Referências · 20

• 🔥 https://phabricator.wikimedia.org/T297731 · Exploit
• https://lists.wikimedia.org/hyperkitty/list/[e-mail]/thread/YJNXKPV5Z56NSUQ4G3SXPDUIZG5EQ7UR · Nota
• https://debian.org/security/2022/dsa-5246 · Aviso do Fabricante
• https://lists.debian.org/debian-lts-announce/2022/09/msg00027.html · Nota
• https://osv.dev/vulnerability/CVE-2022-28203 · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-mediawiki-2022-28203 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2022-28203 · Aviso do Fabricante
• https://bugs.mageia.org/show_bug.cgi?id=30231 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-28203 · Nota de Segurança
• https://osv.dev/vulnerability/DSA-5246-1 · Aviso do Fabricante
• https://advisories.mageia.org/MGASA-2022-0145.html · Nota de Segurança
• https://osv.dev/vulnerability/DLA-3117-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2022-28203 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2022-28203 · Nota de Segurança
• https://security-tracker.debian.org/tracker/CVE-2022-28203 · Aviso do Fabricante