FreeBSD：bugzilla のクロスサイトリクエスト偽造（7f448dc1-82ca-11e1-b393-20cf30e32f6d）

medium Nessus プラグイン ID 58647

Language:

概要

リモート FreeBSD ホストには、セキュリティ関連の更新がありません。

説明

Bugzilla セキュリティアドバイザリによる報告：

Bugzilla で、次のセキュリティの問題を発見しました：

- enctype フォーム属性の検証の欠落により、POST リクエストを xmlrpc.cgi に対して行うときの潜在的な CSRF の脆弱性が発見されました。ユーザーが何らかの悪意のある HTML コードが埋め込まれた HTML ページにアクセスした場合、攻撃者が、mod_perl を実行するサイト上で XML-RPC API を使用することで、被害者のアカウントに代わってリモートの Bugzilla インストールに変更を加える可能性があります。mod_cgi の下で実行するサイトは影響を受けません。また、この脆弱性を機能させるためには、ユーザーがターゲットサイトにすでにログインしている必要があります。

すべての影響を受けるインストールは、ただちにアップグレードすることが推奨されています。