二つの脆弱性が Web ベースのバグトラッキングシステム Bugzilla に、 作者たちにより発見されました。Common Vulnerabilities and Exposures Project では以下の二つの脆弱性を確認しています。
毎晩走らせる cron ジョブとして提供されているデータ収集スクリプトが、 実行の際にデータ蓄積のためのディレクトリを誰からでも書き込み可能に 変更しています。このため、ローカルのユーザから集めたデータの変更や 削除が可能です。
checksetup.pl 添付の標準の .htaccess スクリプトでは、vi や emacs のようなエディタで作成される localconfig ファイルの編集中のバックアップ (通常、.swp や ~ がファイル名末尾に付けられます) に対するアクセスを防止していません。 このため、 エンドユーザがバックアップコピーの一つをダウンロードすることができ、 データベースのパスワードを知ることができる可能性があります。
この問題は Debian の標準インストール状態では起こりません。これは、標準の Bugzilla パッケージとは異なり、.htaccess およびその他のデータファイルを CGI パス内に置いていないためです。また、設定は /etc/bugzilla/localconfig であり、これは web ディレクトリ外になります。
現安定版 (stable) (woody)e では、これはバージョン 2.14.2-0woody4 で修正されています。
旧安定版 (potato) には、Bugzilla パッケージは収録されていません。
不安定版 (unstable) (sid) の修正は、近日提供の予定です。
すぐに bugzilla パッケージをアップグレードすることを勧めます。
一覧にあるファイルの MD5 チェックサムは勧告の原文にあります。