Bugzilla < 3.6.11 / 4.0.8 / 4.2.3 / 4.3.3 の複数の脆弱性
medium Nessus プラグイン ID 62074
Language:
概要
リモートの Web サーバーに、複数の脆弱性がある CGI アプリケーションが含まれています。説明
そのバナーによると、リモートホストにインストールされているバージョンの Bugzilla は、以下の複数の脆弱性の影響を受けます：- ユーザーが LDAP を使用してログインする場合、ディレクトリのクエリに使用される uid=$username フィルターを構築する際に、ユーザー名がエスケープされません。これは、LDAP インジェクションを引き起こす可能性があります。注意：これは、2.12 から 3.6.10、3.7.1 から 4.0.7、4.1.1 から 4.2.2、および 4.3.1 から 4.3.2 のバージョンに影響を与えます。（CVE-2012-3981）
- ブラウズするディレクトリに対する拡張は保護されず、ユーザーが機密データを含む可能性のあるテンプレートのソースコードにアクセスする可能性があります。注意：これは、2.23.2 から 3.6.10、3.7.1 から 4.0.7、4.1.1 から 4.2.2、および 4.3.1 から 4.3.2 のバージョンに影響を与えます。（CVE-2012-4747）
Nessus はこれらの問題に対してテストされていませんが、その代わりにアプリケーションの自己報告されたバージョン番号のみに依存していることに、注意してください。
ソリューション
Bugzilla 3.6.11 / 4.0.8 / 4.2.3 / 4.3.3 以降にアップグレードしてください。注意：CVE-2012-4747 用のパッチは Bugzilla の全てのブランチに対してポートされていない可能性があります。利用可能なパッチおよびソリューションについては、上記の URL を参照してください。参考資料
プラグインの詳細
深刻度: Medium
ID: 62074
ファイル名: bugzilla_3_6_11.nasl
バージョン: 1.11
タイプ: remote
ファミリー: CGI abuses
公開日: 2012/9/13
更新日: 2022/4/11
設定: パラノイドモードの有効化, 徹底したチェックを有効にする
サポートされているセンサー: Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 4.0
CVSS v2
リスクファクター: Medium
基本値: 5
現状値: 3.7
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N
CVSS スコアのソース: CVE-2012-4747
脆弱性情報
CPE: cpe:/a:mozilla:bugzilla
必要な KB アイテム: installed_sw/Bugzilla, Settings/ParanoidReport
除外される KB アイテム: Settings/disable_cgi_scanning
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2012/8/30
脆弱性公開日: 2012/8/30
参照情報
CVE: CVE-2012-3981, CVE-2012-4747
BID: 55349