The Bugzilla devs have released a new version to fix a security issue.
See the Security Advisory for details.

http://www.bugzilla.org/security/4.0.4/

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

A Bugzilla Security Advisory reports :

The following security issues have been discovered in Bugzilla :

- Due to a lack of validation of the enctype form attribute when making POST requests to xmlrpc.cgi, a possible CSRF vulnerability was discovered. If a user visits an HTML page with some malicious HTML code in it, an attacker could make changes to a remote Bugzilla installation on behalf of the victim's account by using the XML-RPC API on a site running mod_perl. Sites running under mod_cgi are not affected. Also, the user would have had to be already logged in to the target site for the vulnerability to work.

All affected installations are encouraged to upgrade as soon as possible.

Bugzilla devs は、セキュリティの問題を修正する新しいバージョンをリリースしています。
詳細については、セキュリティアドバイザリを参照してください。

http://www.bugzilla.org/security/4.0.4/

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Bugzilla セキュリティアドバイザリによる報告：

Bugzilla で、次のセキュリティの問題を発見しました：

- enctype フォーム属性の検証の欠落により、POST リクエストを xmlrpc.cgi に対して行うときの潜在的な CSRF の脆弱性が発見されました。ユーザーが何らかの悪意のある HTML コードが埋め込まれた HTML ページにアクセスした場合、攻撃者が、mod_perl を実行するサイト上で XML-RPC API を使用することで、被害者のアカウントに代わってリモートの Bugzilla インストールに変更を加える可能性があります。mod_cgi の下で実行するサイトは影響を受けません。また、この脆弱性を機能させるためには、ユーザーがターゲットサイトにすでにログインしている必要があります。

すべての影響を受けるインストールは、ただちにアップグレードすることが推奨されています。

Bugzilla 开发人员已发布新版本以修复安全问题。
请参阅安全公告以了解详细信息。

http://www.bugzilla.org/security/4.0.4/

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Bugzilla 安全公告：

已在 Bugzilla 中发现以下安全问题：

- 由于向 xmlrpc.cgi 发起 POST 请求时缺少 enctype 表单属性验证，发现一个可能存在的 CSRF 漏洞。如果用户访问包含某些恶意 HTML 代码的 HTML 页，则攻击者可代表受害者的帐户，通过在运行 mod_perl 的站点上使用 XML-RPC API，从而对远程 Bugzilla 安装进行更改。在 mod_cgi 下运行的站点不受影响。此外，用户必须已登录目标站点，从而使该漏洞生效。

鼓励尽快升级所有受影响的安装。

Bugzilla devs 已發行可修正一個安全性問題的新版本。
如需詳細資訊，請參閱安全性公告。

http://www.bugzilla.org/security/4.0.4/

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Bugzilla 安全性公告報告：

在 Bugzilla 中發現下列安全性問題：

- 由於在向 xmlrpc.cgi 提出 POST 要求時未驗證 enctype 表單屬性，可能會出現一個 CSRF 弱點。如果使用者造訪其中含有某惡意 HTML 程式碼的 HTML 頁面，攻擊者可代替使用受害者的帳戶，在執行 mod_perl 的網站上，利用 XML-RPC API 對遠端 Bugzilla 安裝進行變更。在 mod_cgi 下執行的網站不會受到影響。此外，使用者必須已經登入目標網站，此弱點才會發生作用。

建議盡快升級所有受影響的安裝程式。

ID	名稱	產品	系列	已發布	已更新	嚴重性
58256	Fedora 16 : bugzilla-4.0.5-1.fc16 (2012-2398)	Nessus	Fedora Local Security Checks	2012/3/7	2021/1/11	medium
58647	FreeBSD : bugzilla Cross-Site Request Forgery (7f448dc1-82ca-11e1-b393-20cf30e32f6d)	Nessus	FreeBSD Local Security Checks	2012/4/10	2021/1/6	medium
58256	Fedora 16：bugzilla-4.0.5-1.fc16（2012-2398）	Nessus	Fedora Local Security Checks	2012/3/7	2021/1/11	medium
58647	FreeBSD：bugzilla のクロスサイトリクエスト偽造（7f448dc1-82ca-11e1-b393-20cf30e32f6d）	Nessus	FreeBSD Local Security Checks	2012/4/10	2021/1/6	medium
58256	Fedora 16：bugzilla-4.0.5-1.fc16 (2012-2398)	Nessus	Fedora Local Security Checks	2012/3/7	2021/1/11	medium
58647	FreeBSD：bugzilla 跨站请求伪造 (7f448dc1-82ca-11e1-b393-20cf30e32f6d)	Nessus	FreeBSD Local Security Checks	2012/4/10	2021/1/6	medium
58256	Fedora 16 : bugzilla-4.0.5-1.fc16 (2012-2398)	Nessus	Fedora Local Security Checks	2012/3/7	2021/1/11	medium
58647	FreeBSD：bugzilla 跨網站要求偽造 (7f448dc1-82ca-11e1-b393-20cf30e32f6d)	Nessus	FreeBSD Local Security Checks	2012/4/10	2021/1/6	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium