2021-12 security release/FAQ/bn

মিডিয়াউইকিতে ধারাবাহিক প্রযুক্তিগত দুর্বলতার আভাস পাওয়া গেছে যেখানে একজন আক্রমণকারীকে ব্যক্তিগত উইকি থেকে পাতার বিষয়বস্তু ফাঁস করতে এবং সম্পাদনা অনুমতি বাইপাস করতে পারেন। The main vector for this wiki-leak is using vulnerable actions on pages that are listed in and therefore publicly accessible. মিডিয়াউইকি এখন ডিফল্টরূপে পৃষ্ঠাগুলিতে শুধুমাত্র "দেখুন" ক্রিয়া সর্বজনীনভাবে অ্যাক্সেসযোগ্য রয়েছে। এই সমস্যাগুলি ১.৩৫.৫, ১.৩৬.৩ এবং ১.৩৭.১ এ সমাধান করা হয়েছে, টারবল এবং প্যাচগুলির লিঙ্কগুলির জন্য ঘোষণা দেখুন৷



মূল সমস্যাগএলো কী?

 * সিভিই-২০২১-৪৪৮৫৮: "আনডু" বৈশিষ্ট্য একজন আক্রমণকারীকে নির্বিচারে সংশোধনের বিষয়বস্তু দেখতে অনুমতি দেয়, যদিও তাদের কাছে এটি করার অনুমতি থাকর কথা ছিল না।  এটি "mcrundo" এবং "mcrrestore" অ্যাকশনেও (  এবং  ) পাওয়া গেছে।
 * CVE-2021-45038: The "rollback" feature could be passed a specially crafted parameter that allowed an attacker to view the contents of arbitrary pages, regardless of whether they had permissions to do so.
 * CVE-2021-44857: The "mcrundo" and "mcrrestore" actions ( and  ) did not properly check for editing permissions, and allowed an attacker to take the content of any arbitrary revision and save it on any page of their choosing. This affects both public wikis and public pages on private wikis.

I don't have time to patch, how do I disable this?
Add the following to your LocalSettings.php:

If your wiki is private (requires login to view pages) you will also need to set:যদি আপনার উইকি ব্যক্তিগত হয় (পৃষ্ঠাগুলি দেখার জন্য লগইন প্রয়োজন) তাহলে আপনাকে এছাড়াও' সেট করতে হবে:

It should fully disable the vulnerable code. These changes will also work for vulnerable end-of-life MediaWiki versions that do not have a patch available.এটি সম্পূর্ণরূপে দুর্বল কোড নিষ্ক্রিয় করা উচিত. এই পরিবর্তনগুলি জীবনের শেষের দুর্বল মিডিয়াউইকি সংস্করণগুলির জন্যও কাজ করবে যেগুলির কোনও প্যাচ উপলব্ধ নেই৷

If you used to allow logged-out users to see the main page with help text, you should instead move that help text to the MediaWiki:Loginreqpagetext message, which is shown on the "login required" error.

Was I affected?

 * If your wiki is public (anyone can read pages): yes
 * If your wiki is private, and or  has at least one page: yes

If you use an extension like or  to make some pages unreadable to some users, you are also likely affected.

What versions are vulnerable?
All MediaWiki versions since 1.23.0 until 1.34.x, and 1.35.x, 1.36.x, 1.37.x before the fixes (see the top section), are vulnerable to the private wiki read permissions bypasses (CVE-2021-44858, CVE-2021-45038).

All MediaWiki versions since 1.32.0 until 1.34.x, and 1.35.x, 1.36.x, 1.37.x before the fixes (see the top section), are vulnerable to the editing permissions bypass (CVE-2021-44857)1.32.0 থেকে 1.34.x পর্যন্ত সমস্ত MediaWiki সংস্করণ, এবং সংশোধনের আগে 1.35.x, 1.36.x, 1.37.x (দেখুন শীর্ষ বিভাগ), সম্পাদনা অনুমতি বাইপাসের জন্য ঝুঁকিপূর্ণ (CVE- 2021-44857)।

How is this being fixed long-term?
All actions except "view" now require an explicit "read" user right. This is similar to permission checks used in the Action and REST APIs. If further vulnerabilities are found in actions, they will at least not be exploitable by logged-out == How is this being fixed long-term? == on private wikis."দেখুন" ব্যতীত সমস্ত কর্মের জন্য এখন একটি স্পষ্ট "পড়ুন" ব্যবহারকারীর অধিকার প্রয়োজন৷ এটি অ্যাকশন এবং REST API-এ ব্যবহৃত অনুমতি চেকের মতো। যদি কর্মে আরও দুর্বলতা পাওয়া যায়, তাহলে তারা ক== কিভাবে এটি দীর্ঘমেয়াদী সংশোধন করা হচ্ছে? == "দেখুন" ব্যতীত সমস্ত কর্মের জন্য এখন একটি স্পষ্ট "পড়ুন" ব্যবহারকারীর অধিকার প্রয়োজন৷ এটি অ্যাকশন এবং REST API-এ ব্যবহৃত অনুমতি চেকের মতো। যদি কর্মে আরও দুর্বলতা পাওয়া যায়, তাহলে তারা ক

Actions that need to be usable on pages can override the new  function.

How can I see if someone exploited it on my wiki?
Look for  or   in your access logs. Unless you specifically enabled an extension that uses multi-content revisions, there is no legitimate use for these actions.

In addition, look for  requests and check whether the revision IDs belong to a different title than the page being edited.

For the rollback bug, look for  where the "from" parameter is a template transclusion (for example,  ).

This bug does not cause any data loss, so any write actions an attacker could have taken will be recorded in page history like all other edits.এই বাগটি কোনও ডেটা ক্ষতির কারণ হয় না, তাই আক্রমণকারী যে কোনও লেখার পদক্ষেপ নিতে পারে তা অন্যান্য সমস্ত সম্পাদনার মতো পৃষ্ঠার ইতিহাসে রেকর্ড করা হবে।

Credit
The issue was discovered by Dylsss, many thanks to them for identifying00 পিপি and reporting the issue.সমস্যাটি Dylsss দ্বারা আবিষ্কৃত হয়েছে, তাদের চিহ্নিত করার জন্য অনেক ধন্যবাদ00 পিপি এবং সমস্যাটি রিপোর্ট করার জন্য। If you find a bug in MediaWiki, please see the process for reporting security bugs.