Debian セキュリティ勧告

DSA-230-1 bugzilla -- パーミッション設定のミス。バックアップファイル処理の誤り

報告日時:

2003-01-16

影響を受けるパッケージ:

bugzilla

危険性:

あり

参考セキュリティデータベース:

(SecurityFocus の) Bugtraq データベース: BugTraq ID 6501, BugTraq ID 6502.
Mitre の CVE 辞書: CVE-2003-0012, CVE-2003-0013.

詳細:

二つの脆弱性が Web ベースのバグトラッキングシステム Bugzilla に、作者たちにより発見されました。Common Vulnerabilities and Exposures Project では以下の二つの脆弱性を確認しています。

CAN-2003-0012 (BugTraq ID 6502)

毎晩走らせる cron ジョブとして提供されているデータ収集スクリプトが、実行の際にデータ蓄積のためのディレクトリを誰からでも書き込み可能に変更しています。このため、ローカルのユーザから集めたデータの変更や削除が可能です。

CAN-2003-0013 (BugTraq ID 6501)

checksetup.pl 添付の標準の .htaccess スクリプトでは、vi や emacs のようなエディタで作成される localconfig ファイルの編集中のバックアップ (通常、.swp や ~ がファイル名末尾に付けられます) に対するアクセスを防止していません。このため、エンドユーザがバックアップコピーの一つをダウンロードすることができ、データベースのパスワードを知ることができる可能性があります。

この問題は Debian の標準インストール状態では起こりません。これは、標準の Bugzilla パッケージとは異なり、.htaccess およびその他のデータファイルを CGI パス内に置いていないためです。また、設定は /etc/bugzilla/localconfig であり、これは web ディレクトリ外になります。

現安定版 (stable) (woody)e では、これはバージョン 2.14.2-0woody4 で修正されています。

旧安定版 (potato) には、Bugzilla パッケージは収録されていません。

不安定版 (unstable) (sid) の修正は、近日提供の予定です。

すぐに bugzilla パッケージをアップグレードすることを勧めます。

修正:

Debian GNU/Linux 3.0 (woody)

ソース:: http://security.debian.org/pool/updates/main/b/bugzilla/bugzilla_2.14.2-0woody4.dsc; http://security.debian.org/pool/updates/main/b/bugzilla/bugzilla_2.14.2-0woody4.diff.gz; http://security.debian.org/pool/updates/main/b/bugzilla/bugzilla_2.14.2.orig.tar.gz
アーキテクチャ非依存コンポーネント:: http://security.debian.org/pool/updates/main/b/bugzilla/bugzilla-doc_2.14.2-0woody4_all.deb; http://security.debian.org/pool/updates/main/b/bugzilla/bugzilla_2.14.2-0woody4_all.deb

一覧にあるファイルの MD5 チェックサムは勧告の原文にあります。