バナーによると、リモートホストにインストールされているBugzillaのバージョンは、複数の情報漏洩の脆弱性による影響を受けます。

  - HTML bugmail において、全てのバグ ID および 添付ファイル ID はリンクされます。ユーザーがバグまたは添付ファイルを閲覧できる場合、これらのリンクをマウスオーバーすると、バグのサマリーまたは添付ファイルの説明が含まれるツールチップが表示されます。しかし、電子メールを生成するときにユーザーの権限を検証するときは、宛名人の権限の代わりに、バグを編集したユーザーの権限が考慮されました。つまり、他のユーザーに宛名人より高い権限がある場合、機密情報が宛名人に漏洩する可能性がありました。（CVE-2012-1968）

  - ユーザーが閲覧可能なパブリックコメント内で添付ファイルIDを言及した場合、非公開の添付ファイルの説明が、その添付ファイルへのアクセス権限を持たないユーザーに対して可視化する可能性があります。（CVE-2012-1969）

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Bugzilla < 3.6.10/4.0.7/4.2.2/4.3.2 複数の情報漏洩

medium Nessus プラグイン ID 61650

変更ログが見つかりません