Mandriva Linux セキュリティアドバイザリ：bugzilla（MDVSA-2014:200）

medium Nessus プラグイン ID 78616

Language:

概要

リモート Mandriva Linux ホストには、1 つ以上のセキュリティ更新がありません。

説明

更新済みの bugzilla パッケージにより、次記のセキュリティ脆弱性が修正されます：

新しいコメントが、インサイダーグループにプライベートとマーク付されており、フラグが同じトランザクションで設定されていた場合は、たとえインサイダーグループではコメントが非表示でも、コメントがフラグ受信者に表示されます（CVE-2014-1571）。

攻撃者は新しい Bugzilla アカウントを作成することで、アカウント作成をファイナライズする際に、特定のパラメーターをオーバーライドできます。これにより、作成されるユーザーは、元々リクエストされていたものとは異なる電子メールアドレスで作成できる可能性があります。オーバーライドされたログイン名が、グループの正規表現設定に基づいて、グループに自動的に追加される可能性があります（CVE-2014-1572）。

Bugzilla コードベースの監査中に、複数の場所で、クロスサイトスクリプティングの悪用が発生しうることが判明しました。これにより攻撃者が機密情報にアクセスする可能性があります（CVE-2014-1573）。