Debian DSA-2322-1:bugzilla - 数个漏洞

high Nessus 插件 ID 56444

简介

远程 Debian 主机缺少与安全相关的更新。

描述

在基于 Web 的缺陷跟踪系统 Bugzilla 中发现数个漏洞。

- CVE-2010-4572 通过在某些 URL 中插入特定字符串,可将标头与内容注入任何浏览器。

- CVE-2010-4567、CVE-2011-0048 Bugzilla 的“URL”字段可包含数个不同类型的 URL,其中包括“javascript:”和“data:”类型的 URL。
但是,它未将“javascript:”和“data:”类型的 URL 变成可点击链接,其目的是防范跨站脚本攻击或其他攻击。如果以 Bugzilla 未预见的方式在 URL 中添加空格,即可绕过此保护机制。此外,“javascript:”和“data:”类型的链接一律向已注销用户显示为可点击状态。

- CVE-2010-4568 用户可在未经授权的情况下极其迅速地(攻击时间极短却十分见效)获取对任何 Bugzilla 帐户的访问权限。

- CVE-2011-0046 多个页面容易遭受跨站请求伪造攻击。其中大多数问题的危害程度都不及之前的 CSRF 漏洞。

- CVE-2011-2978 当用户变更其电子邮件地址时,Bugzilla 会信任一个可由用户修改的字段,允许其获取用于接收确认邮件的当前邮箱地址。如果攻击者能访问其他用户的会话(例如,假设该用户在公共场所使用浏览器时使其窗口保持打开的状态,即可实现这种情境),就可以修改此字段,让电子邮件变更通知发送到自己的邮箱地址。这意味着即使用户帐户的电子邮件地址已由攻击者变更,用户也无法收到相应的通知。

- CVE-2011-2381(仅针对 flagmail)如果附件描述中有新行,则在编辑附件标记时,可导致电子邮件通知被注入特别构建的标头。

- CVE-2011-2379 Bugzilla 以原始格式查看附件时会使用备用主机,其目的是防止遭受跨站脚本攻击。现在,以“Raw Unified”模式查看修补程序时也会使用此备用主机,因为 Internet Explorer 8 及较早版本和 Safari 5.0.6 及较早版本要求对内容进行嗅探,这可导致执行恶意代码。

- CVE-2011-2380、CVE-2011-2979 一般而言,群组名称保密,只对群组成员可见,如果该群组在缺陷中使用,才会对非成员可见。在创建或编辑缺陷时,可通过构建 URL 来猜测群组是否存在,即使是未在缺陷中使用(本应处于保密状态)的群组也不例外。

解决方案

升级 bugzilla 程序包。

对于旧稳定发行版本 (lenny),不太可能通过向后移植的修补程序来修复这些缺陷。强烈建议 bugzilla 的 lenny 版本用户升级到 squeeze 发行版本。

对于稳定发行版本 (squeeze),已在版本 3.6.2.0-4.4 中修复这些问题。

另见

https://security-tracker.debian.org/tracker/CVE-2011-2979

https://packages.debian.org/source/squeeze/bugzilla

https://www.debian.org/security/2011/dsa-2322

https://security-tracker.debian.org/tracker/CVE-2010-4572

https://security-tracker.debian.org/tracker/CVE-2010-4567

https://security-tracker.debian.org/tracker/CVE-2011-0048

https://security-tracker.debian.org/tracker/CVE-2010-4568

https://security-tracker.debian.org/tracker/CVE-2011-0046

https://security-tracker.debian.org/tracker/CVE-2011-2978

https://security-tracker.debian.org/tracker/CVE-2011-2381

https://security-tracker.debian.org/tracker/CVE-2011-2379

https://security-tracker.debian.org/tracker/CVE-2011-2380

插件详情

严重性: High

ID: 56444

文件名: debian_DSA-2322.nasl

版本: 1.13

类型: local

代理: unix

发布时间: 2011/10/11

最近更新时间: 2021/1/11

支持的传感器: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus

风险信息

VPR

风险因素: Medium

分数: 5.9

CVSS v2

风险因素: High

基本分数: 7.5

时间分数: 5.5

矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P

漏洞信息

CPE: p-cpe:/a:debian:debian_linux:bugzilla, cpe:/o:debian:debian_linux:6.0

必需的 KB 项: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

易利用性: No known exploits are available

补丁发布日期: 2011/10/10

漏洞发布日期: 2011/1/28

参考资料信息

CVE: CVE-2010-4567, CVE-2010-4568, CVE-2010-4572, CVE-2011-0046, CVE-2011-0048, CVE-2011-2379, CVE-2011-2380, CVE-2011-2381, CVE-2011-2978, CVE-2011-2979

BID: 45982, 49042

DSA: 2322