发布日期:2014-10-09
更新日期:2014-10-09
受影响系统:
Bugzilla Bugzilla 4.5.1 - 4.5.5
Bugzilla Bugzilla 4.3.1 - 4.4.5
Bugzilla Bugzilla 4.1.1 - 4.2.10
Bugzilla Bugzilla 2.17.1 - 4.0.14
不受影响系统:
Bugzilla Bugzilla 4.5.6
Bugzilla Bugzilla 4.4.6
Bugzilla Bugzilla 4.2.11
Bugzilla Bugzilla 4.0.15
描述:
CVE(CAN) ID: CVE-2014-1573
Bugzilla是一个开源的缺陷跟踪系统,它可以管理软件开发中缺陷的提交,修复,关闭等整个生命周期。广泛使用在开源项目中,例如 Apache Software Foundation, Linux kernel, LibreOffice, OpenOffice, OpenSSH, Eclipse, KDE, GNOME, 各种Linux发行版等。
Bugzilla在代码库审计实现上存在跨站脚本漏洞,允许攻击者获取敏感信息。
<*来源:Check Point Software Technologies
Simon Green
Byron Jones
James Kettle
Netanel Rubin
Frederic Buclin
Matt Tyson
David Lawrence
链接:
*>
建议:
厂商补丁:
Bugzilla
--------
Bugzilla已经为此发布了一个安全公告(4.0.14)以及相应补丁:
4.0.14:4.0.14, 4.2.10, 4.4.5, and 4.5.5 Security Advisory
链接:
参考:https://bugzilla.mozilla.org/show_bug.cgi?id=1075578
Fedora 16 安装 Bugzilla 4.2
Debian7&Ubuntu 13.10下配置Bugzilla