S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 03 octobre 2005
N° CERTA-2005-AVI-372
Affaire suivie par: CERT-FR
le 03 octobre 2005

Avis du CERT-FR

Objet: Vulnérabilité dans Bugzilla

Gestion du document

Référence CERTA-2005-AVI-372
Titre Vulnérabilité dans Bugzilla
Date de la première version 03 octobre 2005
Date de la dernière version 03 octobre 2005
Source(s) Bulletin de sécurité Bugzilla du 30 septembre 2005
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Atteinte à la confidentialité des données ;
  • contournement de la politique de sécurité.

Systèmes affectés

Bugzilla 2.x et versions antérieures.

Résumé

Deux vulnérabilités découvertes dans Bugzilla permettent à un utilisateur distant mal intentionné de contourner la politique de sécurité et/ou de porter atteinte à la confidentialité des données.

Description

Bugzilla est un programme qui permet le suivi des erreurs de programmation et des vulnérabilités.

  • Une vulnérabilité dans le script config.cgi permet à un individu distant, mal intentionné, d'outrepasser l'authentification mise en place par le site web et de prendre connaissance de certaines informations relatives au système ;
  • une seconde vulnérabilité peut être exploitée à distance par une personne malveillante afin de découvrir la liste des utilisateurs invisibles.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 03 octobre 2005
    version initiale.