2011年10月11日

[debian-users:55703] [Translate] [SECURITY] [DSA 2322-1] bugzilla security update

かねこです。
URL 等は Debian-security-announce メーリングリストの元記事を確認
ください。

------>8------------>8------------>8------------>8------------>8-
- -------------------------------------------------------------------------
Debian Security Advisory DSA-2322-1 security@xxxxx
http://www.debian.org/security/ Jonathan Wiltshire

October 10, 2011 http://www.debian.org/security/faq
- -------------------------------------------------------------------------

Package : bugzilla
Vulnerability : 複数
Problem type : リモート
Debian-specific: いいえ
CVE ID : CVE-201-2979 CVE-2010-4567 CVE-2010-4568 CVE-2010-4572
CVE-2011-0046 CVE-2011-0048 CVE-2011-2379 CVE-2011-2380
CVE-2011-2381 CVE-2011-2978

複数の欠陥が、ウェブベースのバグトラッキングシステム Bugzilla に発見
されました。

CVE-2010-4572

特定の URL に細工した文字列を挿入することで、任意のブラウザに対し
てヘッダと内容に文字列を挿入可能です。

CVE-2010-4567, CVE-2011-0048

Bugzilla には、様々な種類の URL を格納可能な URL フィールドがあり
ます。このフィールドには、"javascript:" や "data:" URL が格納可能
です。一方、クロスサイトスクリプティング攻撃などを防ぐため、
Bugzilla ではクリッカブルリンクに "javascript:" や "data:" URL が
含まれないようにしていますが、Bugzilla の予想していなかった箇所に
空白文字を挿入することでこの保護が迂回可能でした。また、ログアウト
したユーザからは "javascript:" や "data:" URL が常にクリッカブルに
なっていました。

CVE-2010-4568

非常に短時間ではありますが、十分に攻撃可能な時間程度に、ユーザが認
証なしで任意の Bugzilla アカウントの権限を取得することが可能になっ
ていました。

CVE-2011-0046

様々なページにクロスサイトリクエストフォージェリ攻撃を許す欠陥があ
ります。これらの問題のほとんどは以前の CSRF 欠陥ほど深刻なものでは
ありません。

CVE-2011-2978

ユーザが自分のメールアドレスを変更した場合に、bugzilla はユーザの
変更可能フィールドから取得した新しい e-mail アドレスを信用し、そこ
に確認メッセージを送付します。もし攻撃者が他のユーザのセッションに
対するアクセスが可能な場合 (例えば、公共の場所でブラウザウィンドウ
を開いたままにしていた場合など)、このフィールドを書き換えて電子メ
ールの変更確認通知を自分のアドレスに送付させることが可能です。これ
は、攻撃者によって自分のアカウントの電子メールアドレスが書き換えら
れたことの通知が行われないと言うことを意味します。

CVE-2011-2381

flagmails のみに対して、添付ファイル記述に改行文字が含まれていた場
合、添付フラグ編集時に通知メールに細工したヘッダを挿入可能でした。

CVE-2011-2379

Bugzilla は、クロスサイトスクリプティング攻撃を防ぐため、添付ファ
イルを生のフォーマットで閲覧する際に別ホストを用いていました。この
別ホストは、"Raw Unified" モードでパッチを見る際にも使われていたた
め、Internet Explorer 8 およびそれ以前、Safari 5.0.6 およびそれ以
前でのコンテンツ内容検出のために、悪意を持ったコードの実行に悪用さ
れる可能性があります。

CVE-2011-2380 CVE-201-2979

グループ名は秘密情報であり、通常はグループのメンバからのみ、または
グループがバグ報告に使われている場合のみ見ることが可能です。バグ用
として使われておらず秘密の筈のグループに対しても、バグを作成および
編集するための細工した URL を作成することにより、グループが存在す
るかどうかを調査可能でした。

旧安定版ディストリビューション (lenny) では、これらのバグに関するパッ
チをバックポートすることは現実的ではないと判断されました。lenny での
bugzilla 利用者には squeeze ディストリビューションへのアップグレード
を強く推奨します。

安定版 (stable) ディストリビューション (squeeze) では、これらの問題は
バージョン 3.6.2.0-4.4 で修正されています。

テスト版 (testing) および不安定版 (unstable) ディストリビューションで
は、bugzilla パッケージは削除されています。

直ぐに bugzilla パッケージをアップグレードすることを勧めます。

Debian Security Advisories に関する説明、これらの更新をシステムに適用
する方法、FAQ などは http://www.debian.org/security/ を参照ください。

Mailing list: debian-security-announce@xxxxx
------>8------------>8------------>8------------>8------------>8-
--
Seiji Kaneko skaneko@xxxxx
---------------------------------------------------------

投稿者 xml-rpc : 2011年10月11日 23:20
役に立ちました?:
過去のフィードバック 平均:(0) 総合:(0) 投票回数:(0)
本記事へのTrackback: http://hoop.euqset.org/blog/mt-tb2006.cgi/106761
トラックバック
コメント
コメントする




画像の中に見える文字を入力してください。