Corregida vulnerabilidad en Bugzilla

Se han publicado nuevas versiones de Bugzilla para solucionar una nueva vulnerabilidad que podría permitir a atacantes remotos conseguir crear cuentas de usuario sin autorización.

Bugzilla es una herramienta de seguimiento de errores de código abierto, basada en web, y muy utilizada por empresas de desarrollo de software para sus proyectos. Además de la gestión de fallos y vulnerabilidades, también permite determinar la prioridad y severidad de los mismos, agregar comentarios y propuestas de solución, designar responsables para cada uno de ellos, enviar mensajes de correo para informar de un error, etc.

El problema (CVE-2015-4499) reside en que los nombres de usuario (habitualmente una dirección de correo) de más de 127 caracteres pueden corromperse al grabarse. Esto podría permitir a un atacante crear una cuenta con una cuenta de correo diferente a la solicitada originalmente. De esta forma, la cuenta de usuario puede añadirse de forma automática a grupos para los que el usuario no esté autorizado, basándose en la configuración de expresiones regulares del grupo.

La corrección para este problema se encuentra incluidas en las versiones 4.2.15, 4.4.10, 5.0.1, disponibles desde:

http://www.bugzilla.org/download/

Más información:

5.0, 4.4.9, and 4.2.14 Security Advisory

https://www.bugzilla.org/security/4.2.14/

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero

Corregidas dos vulnerabilidades en Bugzilla

Se han publicado nuevas versiones de Bugzilla para solucionar dos nuevas vulnerabilidades que podrían permitir a atacantes inyectar comandos y obtener información sensible. 

Bugzilla es una herramienta de seguimiento de errores de código abierto, basada en web, y muy utilizada por empresas de desarrollo de software para sus proyectos. Además de la gestión de fallos y vulnerabilidades, también permite determinar la prioridad y severidad de los mismos, agregar comentarios y propuestas de solución, designar responsables para cada uno de ellos, enviar mensajes de correo para informar de un error, etc.

El primero de los problemas (CVE-2014-8630) reside en que Bugzilla no utiliza de forma adecuada algunos argumentos en determinados formularios. Esto puede permitir la inyección de comandos a un usuario con permisos "editcomponents". Por otra parte usando la API WebServices un usuario podría ejecutar funciones importadas de otros módulos diferentes, lo que podría facilitar la fuga de información.

Las correcciones para estos problemas se encuentran incluidas en las versiones 4.0.16, 4.2.12, 4.4.7 y 5.0rc1, disponibles desde:

http://www.bugzilla.org/download/

Más información:

5.0rc1, 4.4.6, 4.2.11, and 4.0.15 Security Advisory

http://www.bugzilla.org/security/4.0.15/

Bug 1079065 - (CVE-2014-8630) [SECURITY] Always use the 3 arguments form for open() to prevent shell code injection

https://bugzilla.mozilla.org/show_bug.cgi?id=1079065

Bug 1090275 - WebServices modules should maintain a whitelist of methods that are allowed instead of allowing access to any function imported into its namespace

https://bugzilla.mozilla.org/show_bug.cgi?id=1090275

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero

Diversas vulnerabilidades en Bugzilla

Se han publicado nuevas versiones de Bugzilla para solucionar cuatro nuevas vulnerabilidades que podrían permitir a atacantes la creación de cuentas sin autorización, la realización de ataques cross-site scripting, la fuga de información y de ingeniería social.

Bugzilla es una herramienta de seguimiento de errores de código abierto, basada en web, y muy utilizada por empresas de desarrollo de software para sus proyectos. Además de la gestión de fallos y vulnerabilidades, también permite determinar la prioridad y severidad de los mismos, agregar comentarios y propuestas de solución, designar responsables para cada uno de ellos, enviar mensajes de correo para informar de un error, etc.

El primero de los problemas (CVE-2014-1572) podría permitir que un atacante al crear una nueva cuenta Bugzilla anule determinados parámetros, lo que podría llevar a que el nuevo usuario se cree con una dirección de correo electrónico de la introducida originalmente. Esto podría facilitar al atacante que su cuenta de usuario sea añadida a determinados grupos, con mayor acceso a información, al basar la inclusión en grupos por ejemplo si la dirección es de un determinado dominio.

También se han encontrado múltiples problemas de cross-site scripting (CVE-2014-1573). Otro problema de fuga de información podría hacer visibles a todos los usuarios determinados comentarios marcados para un grupo interno (CVE-2014-1571). Y por último, resultados de búsqueda pueden exportarse como archivo CSV que pueden importarse por un programa de hoja de cálculo. Campos con valores especialmente formateados pueden ser interpretados como fórmulas que se pueden ejecutar y utilizar para atacar el sistema de un usuario.

Las correcciones para estos problemas se encuentran incluidas en las versiones 4.0.15, 4.2.11, 4.4.6, 4.5.6, disponibles desde:

http://www.bugzilla.org/download/

Más información:

4.0.14, 4.2.10, 4.4.5, and 4.5.5 Security Advisory

http://www.bugzilla.org/security/4.0.14/

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero

Vulnerabilidad Cross-Site Request Forgery en Bugzilla

Se ha anunciado una vulnerabilidad en Bugzilla (versiones 2.0 a 4.4.2 y 4.5.1 a 4.5.2) que podría permitir a un atacante remoto la realización de ataques cross-site request forgery. También existe otro problema al permitir la inserción de caracteres de control.

Bugzilla es una herramienta de seguimiento de errores de código abierto, basada en web, y muy utilizada por empresas de desarrollo de software para sus proyectos. Además de la gestión de fallos y vulnerabilidades, también permite determinar la prioridad y severidad de los mismos, agregar comentarios y propuestas de solución, designar responsables para cada uno de ellos, enviar mensajes de correo para informar de un error, etc.

El formulario de autenticación no tiene los adecuados controles para la protección Cross-Site Request Forgery (CVE-2014-1517). Este tipo de vulnerabilidad permite a un atacante ejecutar funcionalidades de una web determinada a través de la sesión de otro usuario en esa web. De esta forma un atacante podría tener acceso a los reportes del usuario atacado.

Por otra parte Bugzilla permite la inserción de caracteres de control peligrosos, especialmente en comentarios. Si ese texto, que puede parecer seguro, se copia a un terminal (como xterm o gnome-terminal) se puede provocar la ejecución de comandos.

Las correcciones para estos problemas se encuentran incluidas en las versiones 4.0.12, 4.2.8, 4.4.3 y 4.5.3, disponibles desde:

http://www.bugzilla.org/download/

Más información:

4.5.3, 4.4.3, 4.2.8, and 4.0.12 Security Advisory

http://www.bugzilla.org/security/4.0.11/

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero

Revelación de información sensible en Bugzilla

Se han anunciado dos vulnerabilidades que afectan a Bugzilla y podrían permitir la revelación de información potencialmente sensible.

Bugzilla es una herramienta de seguimiento de errores de código abierto, basada en web, y muy utilizada por empresas de desarrollo de software para sus proyectos. Además de la gestión de fallos y vulnerabilidades, también permite determinar la prioridad y severidad de los mismos, agregar comentarios y propuestas de solución, designar responsables para cada uno de ellos, enviar mensajes de correo para informar de un error, etc.

Frédéric Buclin y Byron Jones han descubierto dos vulnerabilidades que afectan a Bugzilla y que son debidas a errores de falta de comprobación de permisos. 

• La primera de ellas se produce al tener en cuenta los permisos del remitente pero no los del destinatario de un 'bugmail' (email en formato HTML referente a una incidencia o bug). En dicho correo se incluyen enlaces a los identificadores de las incidencias y de los adjuntos, además de un resumen de ellos si el que envía tiene permisos para verlos. De esta forma, información reservada puede ser revelada al destinatario del correo aunque éste disfrute de menos permisos que el remitente. Esta vulnerabilidad ha sido identificada como CVE-2012-1968 y afecta a las ramas 4.x de Bugzilla.
     
• La otra vulnerabilidad ocurre cuando un usuario que tiene permisos para ver un archivo adjunto privado, menciona dicho adjunto en el comentario público de una incidencia. El error se encuentra en la función 'get_attachment_link' que no valida los permisos de los usuarios para mostrar la descripción del adjunto. El identificador CVE-2012-1969 se ha asignado a esta vulnerabilidad que afecta a las versiones 2.x, 3.x, y 4.x.

Se encuentran disponibles para su descarga las versiones 3.6.10, 4.0.7, 4.2.2 y 4.3.2 que solucionan las vulnerabilidades anteriores.

Más información:

Bugzilla 4.3.1, 4.2.1, 4.0.6, and 3.6.9 Security Advisory

http://www.bugzilla.org/security/3.6.9/

(CVE-2012-1968) [SECURITY] HTML bugmail exposes information about

restricted bugs

https://bugzilla.mozilla.org/show_bug.cgi?id=777398

(CVE-2012-1969) [SECURITY] The description of private attachments is

still visible to unauthorized users when mentioned in a comment

https://bugzilla.mozilla.org/show_bug.cgi?id=777586

Juan José Ruiz

jruiz@hispasec.com

Múltiples vulnerabilidades en Bugzilla

Se han anunciado varias vulnerabilidades que afectan a Bugzilla y podrían permitir evadir restricciones de seguridad, realizar ataques Cross-Site Request Forgery (CSRF), y ataques Cross-Site Scripting (XSS).

Bugzilla es una herramienta de seguimiento de errores (Bug Tracking System) de código abierto y basada en la web, que es utilizada por muchas empresas para sus proyectos software. Además de la gestión de fallos y vulnerabilidades, también permite determinar la prioridad y severidad de los mismos, agregar comentarios y propuestas de solución, designar responsables para cada uno de ellos, enviar mensajes de correo para informar de un error, etc.

Las vulnerabilidades que afectan a Bugzilla son las siguientes: 

• CVE-2011-3657: La falta de comprobación de los parámetros de entrada que se pasan a 'chart.cgi' cuando el modo 'debug' está habilitado, podría ser explotada por un atacante remoto para llevar a cabo ataques Cross-Site Scripting (XSS).


• CVE-2011-3667: Existe un error que podría ser aprovechado para crear una cuenta de usuario no autorizada, evadiendo restricciones de seguridad. Dicho error es debido a que el método 'User.offer_account_by_email' no tiene en cuenta el valor 'user_can_create_account' del método de autenticación antes de enviar emails para la creación de nuevas cuentas.


• CVE-2011-3668 y CVE-2011-3669: Una vulnerabilidad de falta de comprobación de permisos al crear informes de errores en 'post_bug.cgi' y adjuntar archivos en 'attachment.cgi' podría permitir a un atacante remoto crear informes de errores y adjuntar archivos no deseados a través de un ataque Cross-Site Request Forgery (CSRF).


• Determinadas entradas que se pasan a 'report.cgi' al cambiar el nombre real no son correctamente verificadas antes de utilizarlas. Esto podría ser aprovechado por un atacante remoto para insertar código HTML arbitrario y código script que se ejecutará en el navegador de un usuario en el contexto de un sitio afectado al visualizar los datos maliciosos. Esta vulnerabilidad no tiene asignado identificador CVE.

Se encuentran disponibles para su descarga las versiones 3.4.13, 3.6.7, 4.0.3, y 4.2rc1 que solucionan todas las vulnerabilidades anteriores. Disponibles desde:

http://www.bugzilla.org/download/

Más información:

Bugzilla Security Advisory

http://www.bugzilla.org/security/3.4.12/

  

Juan José Ruiz

jruiz@hispasec.com