Vulnerability CVE-2014-2243 - CERT Civis.Net

Vulnerability Name:

CVE-2014-2243 (CCN-91534)

Assigned:

2014-03-01

Published:

2014-03-01

Updated:

2014-03-03

Summary:

includes/User.php in MediaWiki before 1.19.12, 1.20.x and 1.21.x before 1.21.6, and 1.22.x before 1.22.3 terminates validation of a user token upon encountering the first incorrect character, which makes it easier for remote attackers to obtain access via a brute-force attack that relies on timing differences in responses to incorrect token guesses.

CVSS v3 Severity:

5.3 Medium (CCN CVSS v3.1 Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N)

Exploitability Metrics:	Attack Vector (AV): Network Attack Complexity (AC): Low Privileges Required (PR): None User Interaction (UI): None
Scope:	Scope (S): Unchanged
Impact Metrics:	Confidentiality (C): Low Integrity (I): None Availibility (A): None

CVSS v2 Severity:

5.8 Medium (CVSS v2 Vector: AV:N/AC:M/Au:N/C:P/I:P/A:N)
4.3 Medium (Temporal CVSS v2 Vector: AV:N/AC:M/Au:N/C:P/I:P/A:N/E:U/RL:OF/RC:C)

Exploitability Metrics:	Access Vector (AV): Network Access Complexity (AC): Medium Authentication (Au): None
Impact Metrics:	Confidentiality (C): Partial Integrity (I): Partial Availibility (A): None

4.3 Medium (CCN CVSS v2 Vector: AV:N/AC:M/Au:N/C:P/I:N/A:N)
3.2 Low (CCN Temporal CVSS v2 Vector: AV:N/AC:M/Au:N/C:P/I:N/A:N/E:U/RL:OF/RC:C)

Exploitability Metrics:	Access Vector (AV): Network Access Complexity (AC): Medium Athentication (Au): None
Impact Metrics:	Confidentiality (C): Partial Integrity (I): None Availibility (A): None

Vulnerability Type:

Vulnerability Consequences:

Gain Access

References:

Source: MITRE
Type: CNA
CVE-2014-2243

Source: MLIST
Type: Patch, Vendor Advisory
[mediawiki-announce] 20140228 MediaWiki Security and Maintenance Releases: 1.22.3, 1.21.6 and 1.19.12

Source: MLIST
Type: UNKNOWN
[oss-security] 20140228 CVE requests: MediaWiki 1.22.3, 1.21.6 and 1.19.12 release

Source: MLIST
Type: UNKNOWN
[oss-security] 20140301 Re: CVE requests: MediaWiki 1.22.3, 1.21.6 and 1.19.12 release

Source: CCN
Type: SA57184
MediaWiki Weakness and Two Vulnerabilities

Source: CCN
Type: MediaWiki Web site
MediaWiki

Source: CONFIRM
Type: UNKNOWN
https://bugzilla.redhat.com/show_bug.cgi?id=1071136

Source: CONFIRM
Type: Vendor Advisory
https://bugzilla.wikimedia.org/show_bug.cgi?id=61346

Source: XF
Type: UNKNOWN
mediawiki-cve20142243-brute-force(91534)

Source: CONFIRM
Type: UNKNOWN
https://gerrit.wikimedia.org/r/#/q/I2a9e89120f7092015495e638c6fa9f67adc9b84f,n,z

Vulnerable Configuration:

Configuration 1:

cpe:/a:mediawiki:mediawiki:1.1.0:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.10.0:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.10.0:rc1:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.10.0:rc2:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.10.1:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.10.2:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.10.3:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.10.4:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.11:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.11.0:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.11.0:rc1:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.11.1:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.11.2:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.12.0:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.12.0:rc1:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.12.1:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.12.2:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.12.3:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.12.4:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.13.0:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.13.0:rc1:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.13.0:rc2:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.13.1:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.13.2:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.13.3:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.13.4:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.14.0:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.14.0:rc1:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.14.1:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.15.0:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.15.0:rc1:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.15.1:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.15.2:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.15.3:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.15.4:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.15.5:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.16.0:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.16.0:beta1:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.16.0:beta2:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.16.0:beta3:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.16.1:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.16.2:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.17:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.17:beta_1:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.17.0:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.17.0:rc1:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.17.1:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.17.2:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.17.3:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.17.4:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.18:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.18:beta_1:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.18.0:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.18.0:rc1:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.18.1:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.18.2:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.18.3:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.19:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.19:beta_1:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.19:beta_2:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.19.0:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.19.1:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.19.2:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.19.3:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.19.4:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.19.5:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.19.6:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.19.7:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.19.8:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.19.9:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.19.10:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:*:*:*:*:*:*:*:* (Version <= 1.19.11)

OR cpe:/a:mediawiki:mediawiki:1.20:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.20.1:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.20.2:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.20.3:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.20.4:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.20.5:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.20.6:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.20.7:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.20.8:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.21:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.21.1:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.21.2:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.21.3:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.21.4:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.21.5:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.22.0:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.22.1:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.22.2:*:*:*:*:*:*:*

Configuration CCN 1:

cpe:/a:mediawiki:mediawiki:1.19.9:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.21.3:*:*:*:*:*:*:*

OR cpe:/a:mediawiki:mediawiki:1.22.0:*:*:*:*:*:*:*

Denotes that component is vulnerable

Oval Definitions

Definition ID	Class	Title	Last Modified
oval:com.ubuntu.precise:def:20142243000	V	CVE-2014-2243 on Ubuntu 12.04 LTS (precise) - low.	2014-03-01
oval:com.ubuntu.trusty:def:20142243000	V	CVE-2014-2243 on Ubuntu 14.04 LTS (trusty) - low.	2014-03-01