FreeBSD：bugzilla -- 多种漏洞 (6ad18fe5-f469-11e1-920d-20cf30e32f6d)

medium Nessus 插件 ID 61764

语言：

简介

远程 FreeBSD 主机缺少一个或多个与安全有关的更新。

描述

Bugzilla 安全公告报告：在 Bugzilla 中发现以下安全问题：LDAP 注入
用户使用 LDAP 登录时，构建用于查询 LDAP 目录的 uid=$username 过滤器时未转义用户名。这可能导致 LDAP 注入。目录浏览扩展未受到保护以防目录浏览，并且用户可访问可能包含敏感数据的模板的源代码。仅 Bugzilla 4.3.3 中阻断了目录浏览，因为它需要 Apache httpd.conf 文件中的配置变更以允许本地 .htaccess 文件使用 Options -Indexes。为了不破坏现有安装，此补丁未向后移植到稳定分支。
为旧 3.6 分支以外的所有受支持的分支阻断了对这些模板的访问，因为此分支的 bzr 存储库中没有 .htaccess，并且无法在不与自定义变更发生潜在冲突的情况下轻松修复现有安装。