According to its banner, the version of Bugzilla installed on the remote host is affected by multiple information disclosure vulnerabilities :

  - In HTML bugmails, all bug IDs and attachment IDs are     linkified, and hovering these links displays a tooltip     with the bug summary or the attachment description if     the user is allowed to see the bug or attachment.  But     when validating user permissions when generating the     email, the permissions of the user who edited the bug     were taken into account instead of the permissions of     the addressee. This means that confidential information     could be disclosed to the addressee if the other user     has more privileges than the addressee. (CVE-2012-1968)

  - The description of a private attachment could be     visible to a user without permissions to access the     attachment if the attachment ID is mentioned in a     public comment that the user can see. (CVE-2012-1969)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

A Bugzilla Security Advisory reports : The following security issues have been discovered in Bugzilla : Information Leak Versions: 4.1.1 to 4.2.1, 4.3.1

In HTML bugmails, all bug IDs and attachment IDs are linkified, and hovering these links displays a tooltip with the bug summary or the attachment description if the user is allowed to see the bug or attachment. But when validating user permissions when generating the email, the permissions of the user who edited the bug were taken into account instead of the permissions of the addressee. This means that confidential information could be disclosed to the addressee if the other user has more privileges than the addressee. Plain text bugmails are not affected as bug and attachment IDs are not linkified.
Information Leak Versions: 2.17.5 to 3.6.9, 3.7.1 to 4.0.6, 4.1.1 to 4.2.1, 4.3.1

The description of a private attachment could be visible to a user who hasn't permissions to access this attachment if the attachment ID is mentioned in a public comment in a bug that the user can see.

Bugzilla セキュリティアドバイザリによる報告：下記のセキュリティ問題が Bugzilla において見つかりました：情報漏洩の存在するバージョン：4.1.1 から 4.2.1、4.3.1 まで

ユーザーがバグや添付ファイルを閲覧できる場合、HTML のバグメールにてすべてのバグ ID および添付ファイル ID がリンクされ、それらのリンク上をホバーすると、バグサマリー、あるいは添付ファイルの説明が記載されたツールチップが表示されます。しかし、電子メールを生成するときにユーザーの権限を検証するときは、宛名人の権限の代わりに、バグを編集したユーザーの権限が考慮されました。つまり、他のユーザーに宛名人より高い権限がある場合、機密情報が宛名人に漏洩する可能性がありました。バグと添付ファイル ID はリンク化されていないため、平文バグメールは影響を受けません。
情報漏洩のバージョン：2.17.5 から 3.6.9 まで、3.7.1 から 4.0.6 まで、4.1.1 から 4.2.1 まで、4.3.1

ユーザーが閲覧可能なバグ内の公開コメントにおいて添付ファイル ID が言及されている場合、保護されている添付ファイルの詳細が、添付ファイルへのアクセス権を持たないユーザーに対して閲覧可能になる可能性があります。

バナーによると、リモートホストにインストールされているBugzillaのバージョンは、複数の情報漏洩の脆弱性による影響を受けます。

  - HTML bugmail において、全てのバグ ID および 添付ファイル ID はリンクされます。ユーザーがバグまたは添付ファイルを閲覧できる場合、これらのリンクをマウスオーバーすると、バグのサマリーまたは添付ファイルの説明が含まれるツールチップが表示されます。しかし、電子メールを生成するときにユーザーの権限を検証するときは、宛名人の権限の代わりに、バグを編集したユーザーの権限が考慮されました。つまり、他のユーザーに宛名人より高い権限がある場合、機密情報が宛名人に漏洩する可能性がありました。（CVE-2012-1968）

  - ユーザーが閲覧可能なパブリックコメント内で添付ファイルIDを言及した場合、非公開の添付ファイルの説明が、その添付ファイルへのアクセス権限を持たないユーザーに対して可視化する可能性があります。（CVE-2012-1969）

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Bugzilla 安全公告报告：已在 Bugzilla 中发现以下安全问题：信息泄漏 版本：4.1.1 至 4.2.1、4.3.1

在 HTML 缺陷邮件中，所有缺陷 ID 和附件 ID 都已做成链接，如果用户可以查看缺陷或附件，将鼠标放在这些链接上会显示包含错误摘要或附件描述的工具提示。但当在生成电子邮件时验证用户权限的情况下，将考虑编辑缺陷的用户的权限，而非收件人的权限。这意味着如果其他用户具有比收件人更高的权限，则可能将机密信息泄露给该收件人。明文缺陷邮件不受影响，因为缺陷和附件 ID 未做成链接。
信息泄漏版本：2.17.5 至 3.6.9，3.7.1 至 4.0.6，4.1.1 至 4.2.1, 4.3.1

如果在用户可以查看的缺陷的公共注释中提及附件 ID，没有此附件访问权限的用户可能可以看到私人附件的描述。

Bugzilla 安全性公告報告：在 Bugzilla 中發現下列安全性問題：資訊洩漏版本：4.1.1 至 4.2.1、4.3.1

在 HTML bugmail 中，所有錯誤 ID 和附件 ID 會轉換為超連結，若使用者有權查看錯誤或附件，則其將指標停留在這些連結上時，畫面會顯示具有錯誤摘要或附件描述的工具提示。但是在驗證產生電子郵件的使用者權限時，所驗證的對象是錯誤編輯者的使用者權限，而非收件人的權限。這表示一旦其他使用者的權限比收件人的權限更多，就可能會將機密資訊洩漏給收件人。純文字 bugmail 不受影響，因為錯誤與附件 ID 不會轉換為超連結。
資訊洩漏版本：2.17.5 至 3.6.9、3.7.1 至 4.0.6、4.1.1 至 4.2.1、4.3.1

若使用者可查看之錯誤中的公開註解內容中曾提及附件 ID，則該使用者也可在不具此附件存取權限的情況下，直接查看私密附件的描述。

根据其标题，远程主机上安装的 Bugzilla 版本受到多种信息泄露漏洞的影响：

  - 在 HTML 缺陷邮件中，所有缺陷 ID 和附件 ID 都会被链接化，鼠标悬停在这些链接上会显示包含缺陷摘要或附件描述的工具提示，表明用户是否可以查看缺陷或附件。但当在生成电子邮件时验证用户权限的情况下，将考虑编辑缺陷的用户的权限，而非收件人的权限。这意味着如果其他用户具有比收件人更高的权限，则可能将机密信息泄露给该收件人。(CVE-2012-1968)

  - 如果在无权访问私有附件的用户可见的公开评论中提到附件 ID，则该用户可看到该附件的描述。(CVE-2012-1969)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。

根據其標題，遠端主機上安裝的 Bugzilla 版本受多個資訊洩漏弱點的影響：

  - 在 HTML bugmail 中，所有錯誤 ID 和附件 ID 會轉換為超連結，若使用者有權查看錯誤或附件，則其將指標停留在這些連結上時，畫面會顯示具有錯誤摘要或附件描述的工具提示。但是在驗證產生電子郵件的使用者權限時，所驗證的對象是錯誤編輯者的使用者權限，而非收件人的權限。這表示一旦其他使用者的權限比收件人的權限更多，就可能會將機密資訊洩漏給收件人。(CVE-2012-1968)

  - 若使用者可查看的公開註解內容中曾提及附件 ID，則該使用者也可在不具附件存取權限的情況下，直接查看私密附件的描述。(CVE-2012-1969)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
61650	Bugzilla < 3.6.10 / 4.0.7 / 4.2.2 / 4.3.2 Multiple Information Disclosures	Nessus	CGI abuses	2012/8/23	2022/4/11	medium
60151	FreeBSD : bugzilla -- multiple vulnerabilities (58253655-d82c-11e1-907c-20cf30e32f6d)	Nessus	FreeBSD Local Security Checks	2012/7/30	2021/1/6	medium
60151	FreeBSD：bugzilla -- 複数の脆弱性（58253655-d82c-11e1-907c-20cf30e32f6d）	Nessus	FreeBSD Local Security Checks	2012/7/30	2021/1/6	medium
61650	Bugzilla < 3.6.10/4.0.7/4.2.2/4.3.2 複数の情報漏洩	Nessus	CGI abuses	2012/8/23	2022/4/11	medium
60151	FreeBSD：bugzilla -- 多种漏洞 (58253655-d82c-11e1-907c-20cf30e32f6d)	Nessus	FreeBSD Local Security Checks	2012/7/30	2021/1/6	medium
60151	FreeBSD：bugzilla -- 多個弱點 (58253655-d82c-11e1-907c-20cf30e32f6d)	Nessus	FreeBSD Local Security Checks	2012/7/30	2021/1/6	medium
61650	Bugzilla < 3.6.10 / 4.0.7 / 4.2.2 / 4.3.2 多种信息泄露	Nessus	CGI abuses	2012/8/23	2022/4/11	medium
61650	Bugzilla < 3.6.10 / 4.0.7 / 4.2.2 / 4.3.2 多個資訊洩漏	Nessus	CGI abuses	2012/8/23	2022/4/11	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

medium