Карточка уязвимости
Характеристики уязвимости
Уровень опасности
Оценка CVSS
(AV:N/AC:L/Au:N/C:P/I:P/A:P)
Производитель ПО
Наименование ПО
bugzilla
(any)
bugzilla-doc
(any)
Описание
Авторами обнаружены два уязвимых места в Bugzilla, web-ориентированной
системе отслеживания ошибок. Проект Common Vulnerabilities and Exposures Project
идентифицировал следующие уязвимости:
CAN-2003-0012 (BugTraq ID 6502)
Предоставленный скрипт сборки данных, который должен выполняться
ежедневно из cron, при каждом запуске изменяет права доступа каталога
data/mining, разрешая всем запись в него. Это позволяет локальным
пользователям изменять или удалять собранные данные.
CAN-2003-0013 (BugTraq ID 6501)
Скрипты .htaccess по умолчанию, создаваемые checksetup.pl,
не блокируют доступ к резервным копиям файла localconfig,
который могут быть созданы такими редакторами, как vi или
emacs (обычно их имена имеют суффикс .swp или ~). Это позволяет
конечному пользователю загрузить одну из резервных копий и,
потенциально, получить пароль доступа к вашей базе данных.
Это не касается Bugzilla в поставке Debian. В ней .htaccess отсутствует,
поскольку в пути CGI, в отличие от стандартного пакета Bugzilla, вообще
нет файлов данных. Кроме того, конфигурация хранится в
/etc/bugzilla/localconfig, вне каталога web.
В текущем стабильном дистрибутиве (woody) эти проблемы исправлены
в версии 2.14.2-0woody4.
Старый стабильный дистрибутив (potato) не содержит пакета
Bugzilla.
В нестабильном дистрибутиве (sid) эта проблема будет исправлена
в ближайшее время.
Мы рекомендуем вам обновить пакет bugzilla.
системе отслеживания ошибок. Проект Common Vulnerabilities and Exposures Project
идентифицировал следующие уязвимости:
CAN-2003-0012 (BugTraq ID 6502)
Предоставленный скрипт сборки данных, который должен выполняться
ежедневно из cron, при каждом запуске изменяет права доступа каталога
data/mining, разрешая всем запись в него. Это позволяет локальным
пользователям изменять или удалять собранные данные.
CAN-2003-0013 (BugTraq ID 6501)
Скрипты .htaccess по умолчанию, создаваемые checksetup.pl,
не блокируют доступ к резервным копиям файла localconfig,
который могут быть созданы такими редакторами, как vi или
emacs (обычно их имена имеют суффикс .swp или ~). Это позволяет
конечному пользователю загрузить одну из резервных копий и,
потенциально, получить пароль доступа к вашей базе данных.
Это не касается Bugzilla в поставке Debian. В ней .htaccess отсутствует,
поскольку в пути CGI, в отличие от стандартного пакета Bugzilla, вообще
нет файлов данных. Кроме того, конфигурация хранится в
/etc/bugzilla/localconfig, вне каталога web.
В текущем стабильном дистрибутиве (woody) эти проблемы исправлены
в версии 2.14.2-0woody4.
Старый стабильный дистрибутив (potato) не содержит пакета
Bugzilla.
В нестабильном дистрибутиве (sid) эта проблема будет исправлена
в ближайшее время.
Мы рекомендуем вам обновить пакет bugzilla.
Как исправить
Проблема может быть решена обновлением операционной системы до следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 3.0:
noarch:
bugzilla-doc - 2.14.2-0woody4
bugzilla - 2.14.2-0woody4
Debian GNU/Linux 3.0:
noarch:
bugzilla-doc - 2.14.2-0woody4
bugzilla - 2.14.2-0woody4
Ссылки
http://www.debian.org/security/dsa-230/
Источник: CVE
Наименование: CVE-2003-0013
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2003-0013
Источник: CVE
Наименование: CVE-2003-0012
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2003-0012
Источник: CVE
Наименование: CVE-2003-0013
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2003-0013
Источник: CVE
Наименование: CVE-2003-0012
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2003-0012
