更新版 bugzilla 套件可修正安全性弱點：

如果將新註解標記為內部群組的私人項目，且在相同交易中設定旗標，則即使旗標收件者不屬於內部群組，仍可檢視該註解 (CVE-2014-1571)。

建立新 Bugzilla 帳戶的攻擊者，可在完成帳戶建立程序時覆寫特定參數，這可導致系統使用與原來要求不同的電子郵件地址建立該使用者。遭覆寫的登入名稱可依據群組的規則運算式設定自動新增至群組 (CVE-2014-1572)。

在 Bugzilla 程式碼基底稽核期間，發現數個地方可能發生跨網站指令碼的惡意利用問題，從而允許攻擊者存取敏感資訊 (CVE-2014-1573)。

CVE-2014-1571、CVE-2014-1572、CVE-2014-1573 的安全性修正

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

根據其標題，遠端主機上安裝的 Bugzilla 版本包含多個瑕疵。因此受到以下弱點影響：

- 如果將新註解標記為內部群組的私人項目，且在相同交易中設定旗標，則即使旗標收件者不屬於內部群組，仍可檢視該註解。(CVE-2014-1571)

- 遠端攻擊者可在建立新 Bugzilla 帳戶時覆寫特定參數。這可導致使用與原來要求不同的電子郵件地址建立帳戶，進而允許根據群組的規則運算式設定，將使用者新增至特定群組。這可能允許攻擊者提升指定使用者帳戶權限。
 (CVE-2014-1572)

- 處理 CGI 引數的方式中存在一個瑕疵，其可允許發生跨網站指令碼惡意利用，攻擊者可藉此存取敏感資訊。
 (CVE-2014-1573)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

Bugzilla 安全性公告 未經授權的帳戶建立 建立新 Bugzilla 帳戶的攻擊者可在完成帳戶建立程序時覆寫某些參數，導致系統使用與原來要求不同的電子郵件地址建立該使用者。遭覆寫的登入名稱可依據群組的規則運算式設定自動新增至群組。跨網站指令碼 在 Bugzilla 程式碼基底稽核期間，發現數個地方可能發生跨網站指令碼惡意利用，進而允許攻擊者存取敏感資訊。資訊洩漏 如果將新註解標記為內部群組的私人項目，且在相同交易中設定旗標，則即使旗標收件者不屬於內部群組，仍可檢視該註解。社群工程 搜尋結果能以 CSV 檔案格式匯出，之後可再匯入外部試算表程式。格式特殊的欄位值可被解譯為公式，而可能被執行並用來攻擊使用者的電腦。

ID	名稱	產品	系列	已發布	已更新	嚴重性
78616	Mandriva Linux 安全性公告：bugzilla (MDVSA-2014:200)	Nessus	Mandriva Local Security Checks	2014/10/22	2021/1/6	medium
78629	Fedora 20 : bugzilla-4.2.11-1.fc20 (2014-12530)	Nessus	Fedora Local Security Checks	2014/10/23	2021/1/11	medium
78630	Fedora 19 : bugzilla-4.2.11-1.fc19 (2014-12584)	Nessus	Fedora Local Security Checks	2014/10/23	2021/1/11	medium
78069	Bugzilla < 4.0.15 / 4.2.11 / 4.4.6 / 4.5.6 多個弱點	Nessus	CGI abuses	2014/10/6	2024/6/4	medium
78071	FreeBSD：Bugzilla 多個安全性問題 (b6587341-4d88-11e4-aef9-20cf30e32f6d)	Nessus	FreeBSD Local Security Checks	2014/10/7	2021/1/6	medium
78790	Fedora 21 : bugzilla-4.4.6-1.fc21 (2014-12591)	Nessus	Fedora Local Security Checks	2014/11/3	2021/1/11	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium