 |
Mozilla Bugzilla多个输入验证和信息泄露漏洞 |
|
|
| Mozilla Bugzilla多个输入验证和信息泄露漏洞 |
|
| 作者：佚名 文章来源：不详 点击数： 更新时间：2007-1-26 15:09:36 |
|
2006-10-23 10:24:11
发布日期：2006-10-16
更新日期：2006-10-17
受影响系统：Mozilla Bugzilla 2.23.2
Mozilla Bugzilla 2.22
Mozilla Bugzilla 2.20.2
Mozilla Bugzilla 2.18.5 不受影响系统：Mozilla Bugzilla 2.23.3
Mozilla Bugzilla 2.22.1
Mozilla Bugzilla 2.20.3
Mozilla Bugzilla 2.18.6 描述：
BUGTRAQ ID: 20538
Bugzilla是很多软件项目都在使用的基于Web的bug跟踪系统。
Bugzilla中存在多个安全漏洞，具体如下：
1) 由于没有正确地验证一些字段的输入及<h1>和<h2>标签嵌入的内容，攻击者可以在用户浏览器对话框的环境中执行任意HTML和脚本代码。
2) 在diff模式中浏览附件时允许insidergroup中的用户读取所有附件的描述。此外，在以XML格式导出bug时非timetrackinggroup组的用户也可以看到deadline字段。这允许攻击者获得敏感信息。
3) Bugzilla允许用户通过HTTP GET和POST请求执行某些敏感操作，导致修改、删除或创建bug。
4) 由于没有正确的验证对showdependencygraph.cgi的输入，允许攻击者在用户浏览器环境中执行任意HTML和脚本代码。
<*来源：Max Kanat-Alexander （mkanat@bugzilla.org）
Frédéric Buclin （LpSolit@gmail.com）
Gervase Markham
Gavin Shelley
链接：http://secunia.com/advisories/22409/
http://marc.theaimsgroup.com/?l=bugtraq&m=116101563103006&w=2
*>
建议：
厂商补丁：
Mozilla
-------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：
http://ftp.mozilla.org/pub/mozilla.org/webtools/bugzilla-2.22.1.tar.gz
http://ftp.mozilla.org/pub/mozilla.org/webtools/bugzilla-2.18.6.tar.gz
http://ftp.mozilla.org/pub/mozilla.org/webtools/bugzilla-2.20.3.tar.gz
http://ftp.mozilla.org/pub/mozilla.org/webtools/bugzilla-2.23.3.tar.gz
|
|
| 新闻录入：admin 责任编辑：admin |
|
|
上一篇新闻： Opera Web浏览器URI标签解析堆溢出漏洞
下一篇新闻： Apache mod_tcl远程格式串处理漏洞 |
|
|
| 【字体：小 大】【发表评论】【加入收藏】【告诉好友】【打印此文】【关闭窗口】 |
|
|
 网友评论：（只显示最新10条。评论内容只代表网友观点，与本站立场无关！） |
|
|
|
|
|
