Säkerhetsbulletin från Debian

DSA-2322-1 bugzilla -- flera sårbarheter

Rapporterat den:
2011-10-10
Berörda paket:
bugzilla
Sårbara:
Ja
Referenser i säkerhetsdatabaser:
I Mitres CVE-förteckning: CVE-2010-4567, CVE-2010-4568, CVE-2010-4572, CVE-2011-0046, CVE-2011-0048, CVE-2011-2379, CVE-2011-2380, CVE-2011-2381, CVE-2011-2978, CVE-2011-2979.
Ytterligare information:

Flera sårbarheter har upptäckts i Bugzilla, ett webbaserat felrapporteringssystem.

  • CVE-2010-4572

    Genom att lägga till vissa strängar i specifika URLer, var det möjligt att injicera både huvuden och innehåll i vilket webbläsare som helst.

  • CVE-2010-4567, CVE-2011-0048

    Bugzilla har ett URL-fält som kan innehålla flera typer av URLer, inklusive javascript: och data: URLer. Dock, så gör den inte javascript: och data: URLer till klickbara länkar, för att skydda mot sajtöverskridande skriptangrepp eller andra angrepp. Det var möjligt att förbigå detta skydd genom att lägga till mellanslag i URLen i platser där Bugzilla inte förväntade sig det. Utöver detta, visades javascript: och data:-länkar alltid som klickbara för utloggade användare.

  • CVE-2010-4568

    Det var möjligt för en användare att få icke auktoriserad åtkomst till vilket Bugzilla-konto som helst under en kort tidsperiod (kort nog för att göra angreppet högst effektivt).

  • CVE-2011-0046

    Olika sidor var sårbara för sajtöverskridande förfrågeförfalskningsangrepp. De flesta av dessa problem är inte lika allvarliga som föregående CSRF-sårbarheter.

  • CVE-2011-2978

    När en användare ändrar sin e-postadress, litar Bugzilla på ett användar-redigerbart fält för att få den nuvarande e-postadressen för att skicka ett bekräftelsemeddelande till: Om en angripare har åtkomst till sessionen för en annan användare (exempelvis, om en användare har lämnat sitt webbläsarfönster öppet i en publik plats), kunde angriparen ändra detta fält för att orsaka att denna e-postbekräftelse att gå till deras egen adress. Detta betyder att användaren inte skulle bli notifierad att hans konto har fått sin e-postadress ändrad av angriparen.

  • CVE-2011-2381

    För endast flaggmeddelanden kunde bilagebeskrivningar med en nyrad i dem leda till injicering av skapade huvuden i e-postnotifieringar när en bilageflagga redigeras.

  • CVE-2011-2379

    Bugzilla använder en alternativ värd för bilagor när de visas i raw-format för att förhindra sajtöverskridande skriptangrepp. Denna alternativa värd används nu även vid visning av patchar i Raw Unified-läge eftersom Internet Explorer 8 och äldre, och Safari före 5.0.6 utför innehållssniffning, vilket kunde leda till körning av illasinnad kod.

  • CVE-2011-2380, CVE-2011-2979

    Normalt är ett gruppnamn konfidentiellt och är endast synligt för medlemmar i gruppen, och för icke-medlemmar om gruppen används för fel. Genom att skapa URLen vid skapande eller redigering av en felrapport, var det möjligt att gissa om en grupp existerade eller inte, även för grupper som inte används i felrapporter och därmed var menade att förbi konfidentiella.

För den gamla stabila utgåvan (Lenny), har det inte varit praktiskt möjligt att bakåtanpassa patchar för att rätta dessa fel. Användare av Bugzilla på Lenny rekommenderas starkt att uppgradera till versionen i Squeeze-distributionen.

För den stabila utgåvan (Squeeze) har dessa problem rättats i version 3.6.2.0-4.4.

För uttestningsutgåvan (Wheezy) och den instabila utgåvan (Sid), har bugzillapaketen tagits bort.

Vi rekommenderar att ni uppgraderar era bugzilla-paket.