DSA-2014

Executive Summary

Summary
Title	New moin packages fix several vulnerabilities

Informations
Name	DSA-2014	First vendor Publication	2010-03-12
Vendor	Debian	Last vendor Modification	2010-03-12
Severity (Vendor)	N/A	Revision	1

Security-Database Scoring CVSS v2

Cvss vector : (AV:N/AC:L/Au:N/C:P/I:P/A:P)
Cvss Base Score	7.5	Attack Range	Network
Cvss Impact Score	6.4	Attack Complexity	Low
Cvss Expoit Score	10	Authentification	None Required
Calculate full CVSS 2.0 Vectors scores

Detail

Several vulnerabilities have been discovered in moin, a python clone of WikiWiki. The Common Vulnerabilities and Exposures project identifies the following problems:

CVE-2010-0668

Multiple security issues in MoinMoin related to configurations that have a non-empty superuser list, the xmlrpc action enabled, the SyncPages action enabled, or OpenID configured.

CVE-2010-0669

MoinMoin does not properly sanitize user profiles.

CVE-2010-0717

The default configuration of cfg.packagepages_actions_excluded in MoinMoin does not prevent unsafe package actions.

In addition, this update fixes an error when processing hierarchical ACLs, which can be exploited to access restricted sub-pages.

For the stable distribution (lenny), these problems have been fixed in version 1.7.1-3+lenny3.

For the unstable distribution (sid), these problems have been fixed in version 1.9.2-1, and will migrate to the testing distribution (squeeze) shortly.

We recommend that you upgrade your moin package.

Original Source

Url : http://www.debian.org/security/2010/dsa-2014

CWE : Common Weakness Enumeration

id	Name
CWE-264	Permissions, Privileges, and Access Controls
CWE-16	Configuration

CPE : Common Platform Enumeration

Type	Description	Count
Application	Moinmo Moinmoin cpe:/a:moinmo:moinmoin:1.9.1 cpe:/a:moinmo:moinmoin:1.9.0 cpe:/a:moinmo:moinmoin:1.8.6 cpe:/a:moinmo:moinmoin:1.8.4 cpe:/a:moinmo:moinmoin:1.8.3 cpe:/a:moinmo:moinmoin:1.8.2 cpe:/a:moinmo:moinmoin:1.8.1 cpe:/a:moinmo:moinmoin:1.8.0 cpe:/a:moinmo:moinmoin:1.7.3 cpe:/a:moinmo:moinmoin:1.7.2 cpe:/a:moinmo:moinmoin:1.7.1 cpe:/a:moinmo:moinmoin:1.7.0:beta2 cpe:/a:moinmo:moinmoin:1.7.0 cpe:/a:moinmo:moinmoin:1.7.0:rc1 cpe:/a:moinmo:moinmoin:1.7.0:rc3 cpe:/a:moinmo:moinmoin:1.7.0:rc2 cpe:/a:moinmo:moinmoin:1.7.0:beta1 cpe:/a:moinmo:moinmoin:1.6.4 cpe:/a:moinmo:moinmoin:1.6.3 cpe:/a:moinmo:moinmoin:1.6.2 cpe:/a:moinmo:moinmoin:1.6.1 cpe:/a:moinmo:moinmoin:1.6.0:beta2 cpe:/a:moinmo:moinmoin:1.6.0:rc1 cpe:/a:moinmo:moinmoin:1.6.0:rc2 cpe:/a:moinmo:moinmoin:1.6.0:beta1 cpe:/a:moinmo:moinmoin:1.6.0 cpe:/a:moinmo:moinmoin:1.5.8 cpe:/a:moinmo:moinmoin:1.5.7 cpe:/a:moinmo:moinmoin:1.5.6 cpe:/a:moinmo:moinmoin:1.5.5a cpe:/a:moinmo:moinmoin:1.5.5:rc1 cpe:/a:moinmo:moinmoin:1.5.5 cpe:/a:moinmo:moinmoin:1.5.4 cpe:/a:moinmo:moinmoin:1.5.3 cpe:/a:moinmo:moinmoin:1.5.3:rc2 cpe:/a:moinmo:moinmoin:1.5.3:rc1 cpe:/a:moinmo:moinmoin:1.5.2 cpe:/a:moinmo:moinmoin:1.5.1 cpe:/a:moinmo:moinmoin:1.5.0:beta5 cpe:/a:moinmo:moinmoin:1.5.0:beta4 cpe:/a:moinmo:moinmoin:1.5.0:beta3 cpe:/a:moinmo:moinmoin:1.5.0:beta2 cpe:/a:moinmo:moinmoin:1.5.0:beta6 cpe:/a:moinmo:moinmoin:1.5.0:beta1 cpe:/a:moinmo:moinmoin:1.5.0 cpe:/a:moinmo:moinmoin:1.5.0:rc1	46

Open Source Vulnerability Database (OSVDB)

id	Description
62655	MoinMoin User Profile Sanitization Weakness
62654	MoinMoin cfg.packagepages_actions_excluded Default Configuration Unspecified ...
62043	MoinMoin Superuser Definition Unspecified Issue
54967	MoinMoin Hierarchical ACL Handling Weakness Sub-pages Restriction Bypass