Mehrere Schwachstellen mit unterschiedlichem Gefahrenpotential wurden jüngst im Bug-Tracking-Werkzeug Bugzilla behoben.

Betroffene Systeme

• Bugzilla 2.14 vor 2.14.2
• Bugzilla 2.16 vor 2.16rc2
• Möglicherweise sind Bugzilla-Derivate von den Schwachstellen ebenfalls betroffen.

Einfallstor
Nutzung der Bugzilla-Webschnittstelle. Teilweise ist eine Authentifizierung nötig.

Auswirkung
Angreifer können Cookies von Benutzern entwenden und so die Authentifizierung unterwandern (cross-site scripting). Ferner können möglicherweise Benutzer-Accounts gelöscht werden (denial of service). Außerdem könnte beliebiger SQL-Code ausgeführt werden.

Typ der Verwundbarkeit
cross-site scripting. Denial of Service und eventuell SQL injection.

Gefahrenpotential
mittel bis hoch (letzteres, falls SQL-Injektion möglich sein sollte).
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
Neue Versionen von Bugzilla beheben zahlreiche sicherheitsrelevante Probleme:

• Namen von Benutzern wurden von der Web-Schnitstelle ungefiltert angezeigt, was cross-site scripting und damit Angriffe auf zur Authentifizierung verwendete Cookies erlaubte.
• Nicht dazu autorisierte Benutzer können unter Umständen Accounts anderer Benutzer löschen.
• Als vertraulich eingestufte Information kann eventuell nicht autorisierten Benutzern angezeigt werden.
• Möglicherweise sind SQL-Injektionsangriffe möglich, womit ein Benutzer ungefilterten Zugriff auf die zugrundeliegende Datenbank erhalten würde (mit denselben Rechten wie die Bugzilla-Software).
• Diverse, kleinere Schwachstellen wurden ebenfalls behoben.

Gegenmaßnahmen

• Upgrade auf Bugzilla 2.14.2 bzw 2.16rc2.

Vulnerability IDs

• CAN-2002-0803
• CAN-2002-0804
• CAN-2002-0805
• CAN-2002-0806
• CAN-2002-0807
• CAN-2002-0808
• CAN-2002-0809
• CAN-2002-0810
• CAN-2002-0811

Weitere Information zu diesem Thema

• Red Hat Security Advisory RHSA-2002:109-07

Revisionen dieser Meldung

• V.1.0 (2002-06-12)
• V.1.1 (2002-08-22) Red-Hat-Advisory aufgenommen

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/