Авторами обнаружены два уязвимых места в Bugzilla, web-ориентированной системе отслеживания ошибок. Проект Common Vulnerabilities and Exposures Project идентифицировал следующие уязвимости:
Предоставленный скрипт сборки данных, который должен выполняться ежедневно из cron, при каждом запуске изменяет права доступа каталога data/mining, разрешая всем запись в него. Это позволяет локальным пользователям изменять или удалять собранные данные.
Скрипты .htaccess по умолчанию, создаваемые checksetup.pl, не блокируют доступ к резервным копиям файла localconfig, который могут быть созданы такими редакторами, как vi или emacs (обычно их имена имеют суффикс .swp или ~). Это позволяет конечному пользователю загрузить одну из резервных копий и, потенциально, получить пароль доступа к вашей базе данных.
Это не касается Bugzilla в поставке Debian. В ней .htaccess отсутствует, поскольку в пути CGI, в отличие от стандартного пакета Bugzilla, вообще нет файлов данных. Кроме того, конфигурация хранится в /etc/bugzilla/localconfig, вне каталога web.
В текущем стабильном дистрибутиве (woody) эти проблемы исправлены в версии 2.14.2-0woody4.
Старый стабильный дистрибутив (potato) не содержит пакета Bugzilla.
В нестабильном дистрибутиве (sid) эта проблема будет исправлена в ближайшее время.
Мы рекомендуем вам обновить пакет bugzilla.
Контрольные суммы MD5 этих файлов доступны в исходном сообщении.