FreeBSD : bugzilla -- 多個弱點 (309542b5-50b9-11e1-b0d8-00151735203a)

medium Nessus Plugin ID 57852

語系：

概要

遠端 FreeBSD 主機缺少一個或多個安全性相關更新。

說明

Bugzilla 安全性公告報告：

在 Bugzilla 中發現下列安全性問題：

- 帳戶模擬：當使用者建立新帳戶時，Bugzilla 未正確拒絕內含非 ASCII 字元的電子郵件地址，進而可能被用來模擬其他使用者帳戶。
這類電子郵件地址在視覺上可能看起來與其他有效的電子郵件地址相同，而且攻擊者可能嘗試混淆其他使用者，並將其新增至他應該沒有存取權的錯誤。

- 跨網站要求偽造：由於在向 jsonrpc.cgi 提出 POST 要求時未驗證 Content-Type 標頭的緣故，發現一個潛在的 CSRF 弱點。如果使用者造訪一個其中含有特定惡意 JS 程式碼的 HTML 頁面，攻擊者可代表受害者的帳戶，利用 JSON-RPC API 對遠端 Bugzilla 安裝進行變更。使用者必須登入目標網站，此弱點才會運作。

建議盡快升級所有受影響的安裝程式。