Risques
- Atteinte à l'intégrité des données
- Atteinte à la confidentialité des données
Systèmes affectés
- Bugzilla 3.0.8 ;
- Bugzilla 3.2.4 ;
- Bugzilla 3.4.1.
Résumé
Plusieurs vulnérabilités présentes dans Bugzilla permettent à un utilisateur distant malintentionné de porter atteinte à la confidentialité ou à l'intégrité des données.
Description
Trois vulnérabilités sont présentes dans Bugzilla :
- la première concerne un manque de contrôle dans certaines entrées passées au service Bug.search et permet d'injecter des commandes SQL ;
- la seconde est relative à un manque de contrôle dans certaines entrées passées au service Bug.create et permet d'injecter des commandes SQL ;
- la dernière est relative au mécanisme de gestion des mots de passe des utilisateurs qui, sous certaines conditions, affiche des mots de passe en clair.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Les versions 3.0.9, 3.2.5 et 3.4.2 corrigent le problème :
http://www.bugzilla.com/download/
Documentation
- Bulletin de sécurité Bugzilla du 11 septembre 2009 http://www.bugzilla.com/security/3.0.8
- Bulletin de sécurité Debian DSA-1913-1 du 17 octobre 2009 : http://www.debian.org/security/2009/dsa-1913
- Référence CVE CVE-2009-3125 https://www.cve.org/CVERecord?id=CVE-2009-3125
- Référence CVE CVE-2009-3165 https://www.cve.org/CVERecord?id=CVE-2009-3165
- Référence CVE CVE-2009-3166 https://www.cve.org/CVERecord?id=CVE-2009-3166
