针对 CVE-2014-1571、CVE-2014-1572、CVE-2014-1573 的安全补丁

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

更新后的 bugzilla 程序包修复了安全漏洞：

如果新注释对内部成员群组标记为隐私，并且在相同事务中设置了标记，则此注释将对标记接收方可见，即使他们不在内部成员群组中 (CVE-2014-1571)。

创建新的 Bugzilla 帐户的攻击者在最终确定帐户创建时可以替代某些参数，这可导致所创建的用户具有与初始请求不同的电子邮件地址。替代的登录名可被自动添加到基于群组正则表达式设置的群组 (CVE-2014-1572)。

审计 Bugzilla 代码库期间，发现可利用跨站脚本的多个位置，这可允许攻击者访问敏感信息 (CVE-2014-1573)。

根据其标题，远程主机上安装的 Bugzilla 版本包含多种缺陷。因此，它受到以下漏洞的影响：

- 如果新注释对内部群组标记为隐私，且在同一事务中设置了标记，注释将对标记接收方可见，即使其不在内部群组中。(CVE-2014-1571)

- 当创建新的 Bugzilla 帐户时，远程攻击者可替代某些参数。这可导致创建帐户时使用与最初请求不同的邮件地址，从而允许根据群组的正则表达式设置将用户添加到某些群组。这可允许攻击者升级给定的用户帐户权限。
 (CVE-2014-1572)

- 在处理 CGI 参数的方式中存在一个缺陷，可允许攻击者利用跨站脚本访问敏感信息。
 (CVE-2014-1573)

请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

Bugzilla 安全公告未授权的帐户创建 新建 Bugzilla 帐户的攻击者在最终化帐户创建时可替代某些参数，这可导致用户使用不同于原来请求的电子邮件地址创建。替代的登录名可自动添加到基于群组正则表达式设置的群组。在 Bugzilla 代码库审计期间发现多处跨站脚本，其中可能发生跨站脚本漏洞利用，导致攻击者访问敏感信息。信息泄漏 如果新注释对内部群组标记为私人，并且在同一事务中设置了标记，则即使是不在内部群组中的标记接收者也可看到该注释。社会工程研究结果可导出为 CSV 文件，然后可导入到外部电子表格程序中。采用特殊格式的字段值可解释为可执行并用来攻击用户计算机的公式。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
78629	Fedora 20：bugzilla-4.2.11-1.fc20 (2014-12530)	Nessus	Fedora Local Security Checks	2014/10/23	2021/1/11	medium
78616	Mandriva Linux 安全公告：bugzilla (MDVSA-2014:200)	Nessus	Mandriva Local Security Checks	2014/10/22	2021/1/6	medium
78069	Bugzilla < 4.0.15 / 4.2.11 / 4.4.6 / 4.5.6 多种漏洞	Nessus	CGI abuses	2014/10/6	2022/4/11	medium
78630	Fedora 19：bugzilla-4.2.11-1.fc19 (2014-12584)	Nessus	Fedora Local Security Checks	2014/10/23	2021/1/11	medium
78071	FreeBSD：Bugzilla 多种安全问题 (b6587341-4d88-11e4-aef9-20cf30e32f6d)	Nessus	FreeBSD Local Security Checks	2014/10/7	2021/1/6	medium
78790	Fedora 21：bugzilla-4.4.6-1.fc21 (2014-12591)	Nessus	Fedora Local Security Checks	2014/11/3	2021/1/11	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium