Avis du CERT-FR
Objet : Vulnérabilités dans MantisBT
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Contournement de la politique de sécurité
- Injection de code indirecte à distance
Systèmes affectés
MantisBT, version 1.2.3 et versions antérieures.
Résumé
Plusieurs vulnérabilités dans MantisBT permettent à un utilisateur malveillant de contouner la politique de sécurité ou de faire de l'injection de code indirecte.
Description
Plusieurs vulnérabilités affectent MantisBT :
- des erreurs dans le programme upgrade_unattended.php permettent de réaliser de l'injection de code indirecte (XSS), de l'inclusion locale de code et d'atteindre sans droit des fichiers ;
- quand le paramètre report_stay est à 1 (un), une injection de code indirecte est possible ;
- le codage imparfait des adresses IRC permet de réaliser de l'injection de code indirecte.
Solution
La version 1.2.4 de MantisBT corrige ces problèmes.
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de la version 1.2.4 de MantisBT du 15 décembre 2010 :
http://www.mantisbt.org/bugs/changelog_page.php?project=mantisbt&version=1.2.4 -
Bulletins de sécurité Fedora FEDORA-2010-19070 et FEDORA-2010-19078 du 19 décembre 2010 :
http://lists.fedoraproject.org/pipermail/package-announce/2010-December/052730.html -
Bulletins de sécurité Fedora FEDORA-2010-19070 et FEDORA-2010-19078 du 19 décembre 2010 :
http://lists.fedoraproject.org/pipermail/package-announce/2010-December/052721.html -
Référence CVE CVE-2010-4348
https://www.cve.org/CVERecord?id=CVE-2010-4348 -
Référence CVE CVE-2010-4349
https://www.cve.org/CVERecord?id=CVE-2010-4349 -
Référence CVE CVE-2010-4350
https://www.cve.org/CVERecord?id=CVE-2010-4350
Gestion détaillée du document
| Date | Description |
|---|---|
| 16 décembre 2010 | version initiale. |
| 06 janvier 2011 | ajout des références aux bulletins Fedora et aux CVE. |