Avis du CERT-FR
Objet : Multiples vulnérabilités dans Bugzilla
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à la confidentialité des données
- Contournement de la politique de sécurité
- Injection de code indirecte à distance
Systèmes affectés
- Bugzilla version 3.4.x antérieures à la version 3.4.12 ;
- Bugzilla version 3.6.x antérieures à la version 3.6.6 ;
- Bugzilla version 4.0.x antérieures à la version 4.0.2 ;
- Bugzilla version 4.1.x antérieures à la version 4.1.3.
Résumé
Plusieurs vulnérabilités ont été corrigées dans Bugzilla.
Description
Plusieurs vulnérabilités ont été corrigées dans Bugzilla dont :
- une mauvaise validation de certains éléments permet de mener des attaques par injection de code indirecte ;
- Il est possible de déterminer l'existence d'éléments confidentiels lors de la création ou de la mise à jour de bugs ;
- Une mauvaise gestion de fichiers temporaires peut être exploitées par des utilisateurs locaux pour porter atteinte à la confidentialité des données.
Se référer au bulletin de l'éditeur pour plus de détails sur les vulnérabilités corrigées et les versions affectées par ces vulnérabilités.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Les versions 3.4.12, 3.6.6, 4.0.2 et 4.1.3 corrigent ces vulnérabilités.
Documentation
-
Bulletin de sécurité Bugzilla du 04 août 2011 :
http://www.bugzilla.org/security/3.4.11/ -
Référence CVE CVE-2011-2379
https://www.cve.org/CVERecord?id=CVE-2011-2379 -
Référence CVE CVE-2011-2380
https://www.cve.org/CVERecord?id=CVE-2011-2380 -
Référence CVE CVE-2011-2381
https://www.cve.org/CVERecord?id=CVE-2011-2381 -
Référence CVE CVE-2011-2976
https://www.cve.org/CVERecord?id=CVE-2011-2976 -
Référence CVE CVE-2011-2977
https://www.cve.org/CVERecord?id=CVE-2011-2977 -
Référence CVE CVE-2011-2978
https://www.cve.org/CVERecord?id=CVE-2011-2978 -
Référence CVE CVE-2011-2979
https://www.cve.org/CVERecord?id=CVE-2011-2979
Gestion détaillée du document
| Date | Description |
|---|---|
| 05 août 2011 | version initiale. |