DFN-CERT-2014-0478 Mozilla Bugzilla: Eine Schwachstelle ermöglicht CSRF-Angriffe [Linux][Fedora]

- 22. April 2014

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Mozilla Bugzilla < 4.2.9 Betroffene Plattformen: Red Hat Fedora 19 Red Hat Fedora 20 Ein entfernter Angreifer kann die Schwachstelle für einen CSRF(Cross-Site-Request-Forgery)-Angriff ausnutzen, um so an vertrauliche Informationen zu gelangen Patch: Fedora Update FEDORA-2014-5433 https://admin.fedoraproject.org/updates/FEDORA-2014-5433/bugzilla-4.2.9-1.fc20

Patch:

Fedora Update FEDORA-2014-5414

https://admin.fedoraproject.org/updates/FEDORA-2014-5414/bugzilla-4.2.9-1.fc19

CVE-2014-1517: CSRF-Schwachstelle in Bugzilla

Das Anmeldeformular von Mozilla Bugzilla hatte bisher keinen Schutz gegen
CSRF-Angriffe. Dadurch kann ein entfernter Angreifer einen Benutzer dazu
verleiten sich mit den Anmeldeinformationen des Angreifers anzumelden. Wenn
der betroffene Benutzer einen neuen, schwerwiegenden, sicherheitsrelevanten
Bug meldet, dann erhält der Angreifer sofort Zugang zu allen Details dieses
Bugs.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-0478/

Schwachstelle CVE-2014-1517 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1517

Fedora Update FEDORA-2014-5433:
https://admin.fedoraproject.org/updates/FEDORA-2014-5433/bugzilla-4.2.9-1.fc20

Fedora Update FEDORA-2014-5414:
https://admin.fedoraproject.org/updates/FEDORA-2014-5414/bugzilla-4.2.9-1.fc19