重要情報 更新バージョン： - MediaWiki 1.15.4 - MediaWiki 1.16 beta 3 脆弱性の種類： - XSS（クロスサイトスクリプティング）脆弱性 - CSRF（クロスサイトリクエストフォージェリ）脆弱性 XSS脆弱性： - 発見者：Kuriaki Takashi - 影響範囲：Internet Explorer クライアントのみ、特に IE 6 および IE 8 - 原因：Internet Explorer の非標準的な CSS パース動作により、攻撃者は以前は MediaWiki で安全と見なされていたが、Internet Explorer では不安全な文字列にデコードされるように見える安全な CSS 文字列を構築できる - 詳細リンク：Bugzilla 23687 CSRF脆弱性： - ログインインターフェースで発見 - バージョン 1.15.3 の通常のログインは保護されているが、アカウント作成およびパスワードリセット機能が CSRF 保護を受けていないことが発覚 - 許可されていないユーザーによるプライベート wiki へのアクセスを招く可能性 - 詳細リンク：Bugzilla 23371 推奨対策：全ユーザーはアップグレードを推奨 その他情報： - 攻撃者が URL を推測できる場合、イントラネット設置環境におけるファイアウォールに対する XSS および CSRF 攻撃能力を含む - MediaWiki 1.16 beta 3 には、1.16 beta 2 に対する有用なバグ修正が多数含まれており、1.16 ブランチの安定版が今後1〜2週間でリリースされる予定 - 完全なリリースノートおよびダウンロードリンク：1.15.4 Release Notes および 1.16 beta 3 Release Notes