Mandriva Linux 安全公告：bugzilla (MDVSA-2013:285)

medium Nessus 插件 ID 71099

语言：

简介

远程 Mandriva Linux 主机缺少一个或多个安全更新。

描述

在 bugzilla 中发现并修正了多种漏洞：

在低于 4.4.1 的 Bugzilla 4.4.x 中，process_bug.cgi 中的跨站请求伪造 (CSRF) 漏洞允许远程攻击者通过涉及空中冲突标记的矢量劫持请求修改缺陷的任意用户的认证 (CVE-2013-1733)。

在 Bugzilla 2.x、3.x、低于 4.0.11 的 4.0.x、4.1.x 和低于 4.2.7 的 4.2.x 以及 4.3.x 和低于 4.4.1 的 4.4.x 中，attachment.cgi 中的跨站请求伪造 (CSRF) 漏洞允许远程攻击者通过更新操作劫持提交附件更改请求的任意用户的认证 (CVE-2013-1734)。

在 Bugzilla 2.x、3.x、低于 4.0.11 的 4.0.x、4.1.x 和低于 4.2.7 的 4.2.x 以及 4.3.x 和低于 4.4.1 的 4.4.x 中，editflagtypes.cgi 中的跨站脚本 (XSS) 漏洞允许远程攻击者通过 (1) id 或 (2) sortkey 参数注入任意 Web 脚本或 HTML (CVE-2013-1742)。

在 Bugzilla 4.1.x 和低于 4.2.7 的 4.2.x 以及 4.3.x 和低于 4.4.1 的 4.4.x 中，report.cgi 中的多种跨站脚本 (XSS) 漏洞允许远程攻击者通过构建表格式报告期间未正确处理的字段值注入任意 Web 脚本或 HTML，这一点已由 (1) 汇总或 (2) 实际名称字段证实。注意：存在此问题的原因是对 CVE-2012-4189 的修复不完整 (CVE-2013-1743)。

更新后的程序包已升级到 4.2.7 版，此版本不受这些问题的影响。