add anchors for use in advisory to oss-security

Clarify which versions of ikiwiki fixed CVE-2016-9645, -9646

3.20161229

Add CVE references for CVE-2016-9646, CVE-2016-9645

Thanks to the Debian security team for allocating these.

Prune git remotes that are unreachable or unresponsive

git: Add test coverage for reverting attachments

git: write proposed attachment to temp file without going via system()

git: change calling convention of safe_git to have named arguments

git: Do the revert operation in a secondary working tree

This avoids leaving the git directory in an inconsistent state if the
host system is rebooted while we are processing a revert.

git: Turn $git_dir into a stack

This will be necessary when we use a secondary working tree to do
reverts without leaving the primary working tree in an inconsistent
state.

Add automated test for using the CGI with git, including CVE-2016-10026

Try revert operations (on a branch) before approving them

Otherwise, we have a time-of-check/time-of-use vulnerability:
rcs_preprevert previously looked at what changed in the commit we are
reverting, not at what would result from reverting it now. In
particular, if some files were renamed since the commit we are
reverting, a revert of changes that were within the designated
subdirectory and allowed by check_canchange() might now affect
files that are outside the designated subdirectory or disallowed
by check_canchange().

It is not sufficient to disable rename detection, since git older
than 2.8.0rc0 (in particular the version in Debian stable) silently
accepts and ignores the relevant options.

OVE-20161226-0002

Revert "Tell `git revert` not to follow renames"

This doesn't work prior to git 2.8: `git revert` silently ignores the
option and succeeds. We will have to fix CVE-2016-10026 some other way.

This reverts commit 9cada49ed6ad24556dbe9861ad5b0a9f526167f9.

Force CGI::FormBuilder->field to scalar context where necessary

CGI::FormBuilder->field has behaviour similar to the CGI.pm misfeature
we avoided in f4ec7b0. Force it into scalar context where it is used
in an argument list.

This prevents two (relatively minor) commit metadata forgery
vulnerabilities:

* In the comments plugin, an attacker who was able to post a comment
  could give it a user-specified author and author-URL even if the wiki
  configuration did not allow for that, by crafting multiple values
  to other fields.
* In the editpage plugin, an attacker who was able to edit a page
  could potentially forge commit authorship by crafting multiple values
  for the rcsinfo field.

The remaining plugins changed in this commit appear to have been
protected by use of explicit scalar prototypes for the called functions,
but have been changed anyway to make them more obviously correct.
In particular, checkpassword() in passwordauth has a known prototype,
so an attacker cannot trick it into treating multiple values of the
name field as being the username, password and field to check for.

OVE-20161226-0001

git: do not fail to commit if committer is anonymous

git: don't issue a warning if rcsinfo is undefined

The intention here seems to be that $prev may be undefined, and the
only way that can legitimately happen is for $params{token} to be
undefined too.

git_revert test: reinstate ikiwiki.setup, and make it work uninstalled

Previously it was relying on running with an installed ikiwiki
and being able to copy in recentchanges.mdwn and wikiicons/ from the
underlay in /usr. The underlay in ./underlays/basewiki can't be used
(yet) because ikiwiki doesn't allow following symlinks, even from
underlays.

I'd like to make ikiwiki follow symlinks whose destinations can be
verified to be safe (for example making it willing to expose
/usr/share/javascript to the web, but not /etc/passwd), at least from
underlays, but this is security-sensitive so I'm not going to rush
into it.

Added a comment

Added a comment

Question about default timezone ":/etc/localtime"

Add CVE references for CVE-2016-10026

Replied.

Announce 3.20161219

Release 3.20161219

mention security contacts here too

Opt in to whatever spam this may bring.

changelog

Make pagestats output more deterministic.

Sort in lexical order the pages that have the same number of hits.

Update changelog

Restrict CSS matches on .header to not affect <tr>

Pandoc generates <tr class="header"> to hold <th> elements, and
we don't want to make those be display: block.

Signed-off-by: Simon McVittie <smcv@debian.org>

List security contacts

We still don't have a security@ alias; listing personal emails is
unfortunately the next-best thing.

Add a manual test for reverting git commits

Signed-off-by: Simon McVittie <smcv@debian.org>

Tell `git revert` not to follow renames

Otherwise, we have an authorization bypass vulnerability: rcs_preprevert
looks at what changed in the commit we are reverting, not at what would
result from reverting it now. In particular, if some files were renamed
since the commit we are reverting, a revert of changes that were within
the designated subdirectory and allowed by check_canchange() might now
affect files that are outside the designated subdirectory or disallowed
by check_canchange().

Signed-off-by: Simon McVittie <smcv@debian.org>

Added a comment: no, not supported

rename bugs/img_tag_should_support_relative_size.mdwn to todo/img_tag_should_support_relative_size.mdwn

Not possible as stated, but could be adapted into a valid feature request

cgitemplate: actually remove dead code

Signed-off-by: Simon McVittie <smcv@debian.org>

cgitemplate: remove dead code

blipvert points out in [[bugs/use of $topurl in cgitemplate]] that this
variable has not been used since commit a052771
"Now that we're always using HTML5, <base href> can be relative".

Signed-off-by: Simon McVittie <smcv@debian.org>

Report authorization bypass via RCS revert.

pagestats determinism: report bug + patch.

svetlana.nfshost

Added custom solution

rename forum/FastCGI_problem_on_Arch.mdwn to forum/__91__Solved__93__FastCGI_problem_on_Arch.mdwn

Update my personal site URL.

update my site links.

Added a comment

Added a comment

Added a comment

Added a comment

consider portier as a successor to OpenID?

introduce portier here as well, while i'm here

nextgen persona?

another look at bootstrap and packaging strategies

The C2 wiki appears to have moved.

That was a (curious) mistake.

This reverts commit 1bfe2e2e19bf45bac52c0cc0bc0b17cea64887b6

removed

Added a comment: Translating "Last edited"

added actual progress bar

removed

Created

formatting

modern nginx settings suggestion

inline: Prevent creating a file named ".mdwn" when the postform is submitted with an empty title.

bug

Added a comment: ever fix this?

added remark to nginx

Created

Rename this redirect page, missed in previous.

Update my surname to its new legal spelling.

sign comment

fix link

update

minor edit

cleaned up, updated and submitted for patch

Belatedly announce yesterday's release

3.20160905

pm_filter: use \Q...\E to escape all possible strings pedantically

The current implementation would misbehave for prefixes containing
a single quote.

Use git log --no-renames for recentchanges

Otherwise, recent git releases show renames as renames, and we do not
see that newdir/test5 was affected.

Bug-Debian: https://bugs.debian.org/835612

guh, then i mess up the markdown, how ironic... btw, commonmark parsed my original version correctly :p

clarify and more links