以前のバージョンの Bugzilla には、以下のセキュリティ問題がありました：

- ログインフォームには CSRF 保護がなく、攻撃者は、被害者に攻撃者の認証情報を使用してログインするように強制することがあります。

- 危険なコントロール文字を Bugzilla （特にバグコメント内）に挿入でき、これはローカルコマンドの実行に使用できます。

第一の問題は、CVE 番号 CVE-2014-1517 です。ぞっとするような詳細については、 http://www.bugzilla.org/security/4.0.11/ を参照してください。

両方の問題は 4.2.8 で修正されましたがバグの回帰があり、 4.2.9 で修正されたとコメントされています。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

検出

Fedora 20：bugzilla-4.2.9-1.fc20（2014-5433）

medium Nessus プラグイン ID 73778

変更ログが見つかりません