当前位置： 首页 > 服务与支持 > 产品升级公告 > 安全漏洞公告

服务与支持Support

Bugzilla命令注入及安全限制绕过漏洞

     发表日期：2015-01-30 14:17:59

Bugzilla命令注入及安全限制绕过漏洞
CVE-ID:CVE-2014-8630
发布日期：2014-10-20
更新日期：2015-01-26
受影响系统：
Bugzilla Bugzilla
详细信息：

Bugzilla是一个开源的缺陷跟踪系统。

Bugzilla没有正确过滤某些输入，这可导致注入并执行任意shell命令，要成功利用此漏洞需要 "editcomponents" 权限；WebServices模块没有正确限制XML及JSON APIs内的API方法，这可导致访问受限制功能。


来源：
John Lightsey （john@nixnuts.net）
参考信息：
http://secunia.com/advisories/62458/
解决办法：
厂商补丁：

Bugzilla
--------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

Bugzilla:
http://www.bugzilla.org/security/4.0.15/

John Lightsey:
https://bugzilla.mozilla.org/show_bug.cgi?id=1079065

David Lawrence:
https://bugzilla.mozilla.org/show_bug.cgi?id=1090275