Bugzilla的实现上存在多个远程安全漏洞

新客网 XKER.COM 2007-08-30 来源：绿盟科技收藏本文

发布日期：2007-08-23

更新日期：2007-08-24

受影响系统：

Mozilla Bugzilla 2.22.x

Mozilla Bugzilla 2.20.x

Mozilla Bugzilla 2.18.x

不受影响系统：

Mozilla Bugzilla 3.0.1

Mozilla Bugzilla 2.22.3

Mozilla Bugzilla 2.20.5

描述：

--------------------------------------------------------------------------------

BUGTRAQ ID: 25420

Bugzilla是很多软件项目都在使用的基于Web的bug跟踪系统。

Bugzilla的实现上存在多个远程安全漏洞，远程攻击者可能利用这些漏洞在服务器上执行恶意命令或导致信息泄露。

在归档bug的时候Bugzilla没有正确地转义指导表单中的buildid字段，这可能允许用户通过向enter_bug.cgi提交恶意URL覆盖User-Agent字符串，执行跨站脚本攻击。

Bugzilla使用了Email::而不是Mail::和MIME::模块。传送给Email::Send::Sendmail()的-f选项的参数没有被充分转义，在从email_in.pl脚本调用时可能允许命令注入攻击。

即使用户没有访问时间追踪字段权限，Bugzilla的WebService（XML-RPC）接口仍允许访问所有bug的这些字段，如Deadline、Estimated Time等。

<*来源：Masahiro Yamada （masa141421356@gmail.com）

David Litchfield （david@nextgenss.com）

链接：https://bugzilla.mozilla.org/show_bug.cgi?format=multiple&id=382056

https://bugzilla.mozilla.org/show_bug.cgi?format=multiple&id=386860

http://www.bugzilla.org/security/2.20.4/

https://bugzilla.mozilla.org/show_bug.cgi?format=multiple&id=382056

http://secunia.com/advisories/26584/

建议：

--------------------------------------------------------------------------------

厂商补丁：

Mozilla

-------

目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://ftp.mozilla.org/pub/mozilla.org/webtools/bugzilla-3.0.1.tar.gz

http://ftp.mozilla.org/pub/mozilla.org/webtools/bugzilla-2.20.5.tar.gz

http://ftp.mozilla.org/pub/mozilla.org/webtools/bugzilla-2.22.3.tar.gz

【收藏】【评论】【推荐】【投稿】【打印】【关闭】