Bugzilla は Web ベースのバグ追跡システムで、多数のソフトウェアプロジェクトで使用されています。Bugzilla で 2 つのセキュリティの問題が発見されていますが、次のリリースで修正されています。

これらの更新は CVE-2012-0440 と CVE-2012-0448 を修正します

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Bugzilla is a Web-based bug-tracking system used by a large number of software projects. Two security issues have been discovered in Bugzilla and fixed in these releases.

These updates fix CVE-2012-0440 and CVE-2012-0448

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

A Bugzilla Security Advisory reports :

The following security issues have been discovered in Bugzilla :

- Account Impersonation : When a user creates a new account, Bugzilla doesn't correctly reject email addresses containing non-ASCII characters, which could be used to impersonate another user account.
Such email addresses could look visually identical to other valid email addresses, and an attacker could try to confuse other users and be added to bugs he shouldn't have access to.

- Cross-Site Request Forgery : Due to a lack of validation of the Content-Type head when making POST requests to jsonrpc.cgi, a possible CSRF vulnerability was discovered. If a user visits an HTML page with some malicious JS code in it, an attacker could make changes to a remote Bugzilla installation on behalf of the victim's account by using the JSON-RPC API. The user would have had to be already logged in to the target site for the vulnerability to work.

All affected installations are encouraged to upgrade as soon as possible.

Bugzilla セキュリティアドバイザリによる報告：

Bugzilla で、次のセキュリティの問題を発見しました：

- アカウントのなりすまし：ユーザーが新しいアカウントを作成するとき、Bugzilla は、非 ASCII 文字を含むメールアドレスを正しく拒否しません。これを利用して、他のユーザーアカウントになりすまされる可能性があります。
こうしたメールアドレスは、他の有効なメールアドレスと同一に見える可能性があり、攻撃者が、他のユーザーを混乱させ、アクセス権を持っていないはずのバグを追加させようとする可能性があります。

- クロスサイトリクエスト偽造：Content-Type ヘッダーの検証の欠落により、POST リクエストを jsonrpc.cgi に対して行うときの潜在的な CSRF の脆弱性が発見されました。ユーザーが何らかの悪意のある JS コードが埋め込まれた HTML ページにアクセスした場合、攻撃者が、JSON-RPC API を使用することで、被害者のアカウントに代わってリモートの Bugzilla インストールに変更を加える可能性があります。この脆弱性を機能させるためには、ユーザーがターゲットサイトにすでにログインしている必要があります。

すべての影響を受けるインストールは、ただちにアップグレードすることが推奨されています。

Bugzilla 是一款供大量软件项目使用的基于 Web 的缺陷跟踪系统。已在 Bugzilla 中发现两个安全问题并已在这些版本中修复。

这些更新修复 CVE-2012-0440 和 CVE-2012-0448

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Bugzilla 是許多軟體專案所使用的 Web 型錯誤追蹤系統。這些版本已經修正在 Bugzilla 中所發現的兩個安全性問題。

這些更新可修正 CVE-2012-0440 和 CVE-2012-0448

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Bugzilla 安全公告：

已在 Bugzilla 中发现以下安全问题：

- 帐户假冒：用户创建新帐户时，Bugzilla 未正确拒绝包含非 ASCII 字符的电子邮件地址，从而可能被用于假冒其他用户帐户。
此类电子邮件地址外表上看起来与其他有效电子邮件地址完全一样，攻击者可尝试迷惑其他用户并被添加到其不应有权访问的缺陷中。

- 跨站请求伪造：由于发起对 jsonrpc.cgi 的 POST 请求时缺少对 Content-Type 标头的验证，发现可能的 CSRF 漏洞。如果用户访问其中包含某些恶意 JS 代码的 HTML 页面，攻击者可通过使用 JSON-RPC API 来代表受害者的帐户对远程 Bugzilla 安装进行更改。用户必须已登入目标站点才能使该漏洞生效。

鼓励尽快升级所有受影响的安装。

Bugzilla 安全性公告報告：

在 Bugzilla 中發現下列安全性問題：

- 帳戶模擬：當使用者建立新帳戶時，Bugzilla 未正確拒絕內含非 ASCII 字元的電子郵件地址，進而可能被用來模擬其他使用者帳戶。
這類電子郵件地址在視覺上可能看起來與其他有效的電子郵件地址相同，而且攻擊者可能嘗試混淆其他使用者，並將其新增至他應該沒有存取權的錯誤。

- 跨網站要求偽造：由於在向 jsonrpc.cgi 提出 POST 要求時未驗證 Content-Type 標頭的緣故，發現一個潛在的 CSRF 弱點。如果使用者造訪一個其中含有特定惡意 JS 程式碼的 HTML 頁面，攻擊者可代表受害者的帳戶，利用 JSON-RPC API 對遠端 Bugzilla 安裝進行變更。使用者必須登入目標網站，此弱點才會運作。

建議盡快升級所有受影響的安裝程式。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
57900	Fedora 15：bugzilla-3.6.8-1.fc15（2012-1189）	Nessus	Fedora Local Security Checks	2012/2/13	2021/1/11	medium
57900	Fedora 15 : bugzilla-3.6.8-1.fc15 (2012-1189)	Nessus	Fedora Local Security Checks	2012/2/13	2021/1/11	medium
57902	Fedora 16 : bugzilla-4.0.4-1.fc16 (2012-1218)	Nessus	Fedora Local Security Checks	2012/2/13	2021/1/11	medium
57852	FreeBSD : bugzilla -- multiple vulnerabilities (309542b5-50b9-11e1-b0d8-00151735203a)	Nessus	FreeBSD Local Security Checks	2012/2/7	2021/1/6	medium
57852	FreeBSD : bugzilla -- 複数の脆弱性（309542b5-50b9-11e1-b0d8-00151735203a）	Nessus	FreeBSD Local Security Checks	2012/2/7	2021/1/6	medium
57902	Fedora 16：bugzilla-4.0.4-1.fc16（2012-1218）	Nessus	Fedora Local Security Checks	2012/2/13	2021/1/11	medium
57900	Fedora 15：bugzilla-3.6.8-1.fc15 (2012-1189)	Nessus	Fedora Local Security Checks	2012/2/13	2021/1/11	medium
57902	Fedora 16 : bugzilla-4.0.4-1.fc16 (2012-1218)	Nessus	Fedora Local Security Checks	2012/2/13	2021/1/11	medium
57900	Fedora 15 : bugzilla-3.6.8-1.fc15 (2012-1189)	Nessus	Fedora Local Security Checks	2012/2/13	2021/1/11	medium
57852	FreeBSD：bugzilla -- 多种漏洞 (309542b5-50b9-11e1-b0d8-00151735203a)	Nessus	FreeBSD Local Security Checks	2012/2/7	2021/1/6	medium
57902	Fedora 16：bugzilla-4.0.4-1.fc16 (2012-1218)	Nessus	Fedora Local Security Checks	2012/2/13	2021/1/11	medium
57852	FreeBSD : bugzilla -- 多個弱點 (309542b5-50b9-11e1-b0d8-00151735203a)	Nessus	FreeBSD Local Security Checks	2012/2/7	2021/1/6	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium