Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
MantisBT <= 1.2.17 Betroffene Plattformen: Red Hat Fedora 19 Red Hat Fedora 20 Red Hat Fedora 21 Mehrere Schwachstellen in MantisBT ermöglichen u.a. auch einem entfernten, nicht authentifizierten Angreifer die Durchführung von Cross-Site-Scripting-Angriffen, das Ausführen von beliebigem Programmcode, das Ausspähen von Informationen und das Umgehen von Sicherheitsvorkehrungen. Patch: Fedora Security Update FEDORA-2014-16504 https://admin.fedoraproject.org/updates/FEDORA-2014-16504/mantis-1.2.18-1.fc19
Patch:
Fedora Security Update FEDORA-2014-16546
https://admin.fedoraproject.org/updates/FEDORA-2014-16546/mantis-1.2.18-1.fc20
Patch:
Fedora Security Update FEDORA-2014-16609
https://admin.fedoraproject.org/updates/FEDORA-2014-16609/mantis-1.2.18-1.fc21
CVE-2014-9281: Schwachstelle in MantisBT ermöglicht
Cross-Site-Scripting-Angriff
Eine Schwachstelle in der Datei admin/copy_field.php in der
Administrationsübersicht von MantisBT führt dazu, dass der Wert in dem Feld
dest_id nicht überprüft wird und eingebetteter Programmcode ausgeführt wird.
Ein entfernter, nicht authentifizierter Angreifer kann einen
Cross-Site-Scripting-Angriff durchführen.
CVE-2014-9280: Schwachstelle in MantisBT ermöglicht Ausführung von
beliebigem Programmcode
Eine Schwachstelle in der Funktion current_user_get_bug_filter in der Datei
core/current_user_api.php führt dazu, dass PHP-Code, der in einem Filter
Parameter enthalten ist, ungeprüft verarbeitet wird. Ein entfernter, nicht
authentifizierter Angreifer kann beliebigen Programmcode ausführen.
CVE-2014-9279: Schwachstelle in MantisBT ermöglicht das Ausspähen von
Informationen
Eine Schwachstelle in Funktion print_test_result in der Datei
admin/upgrade_unattended.php führt dazu, dass die Zugangsdaten für die
aktuelle Datenbankverbindung als Antwort an eine URL gesendet werden, die in
dem Hostnamen Parameter übergeben wurde. Es wird empfohlen das
Admin-Verzeichnis nach der Installation zu löschen. Ein entfernter, nicht
authentifizierter Angreifer kann Zugriff auf sensible Informationen
erlangen.
CVE-2014-9272: Schwachstelle in MantisBT ermöglicht
Cross-Site-Scripting-Angriff
Eine Schwachstelle in der Funktion string_insert_hrefs() bei der
Überprüfung von regulären Ausdrücken in einer URL führt dazu, dass das
Protokoll der URL nicht überprüft wird. Ein entfernter, nicht
authentifizierter Angreifer kann einen Cross-Site-Scripting-Angriff
durchführen.
CVE-2014-9270: Schwachstelle in MantisBT ermöglicht
Cross-Site-Scripting-Angriff
Eine Schwachstelle in der Funktion projax_array_serialize_for_autocomplete
in der Datei core/projax_api.php in MantisBT führt dazu, das
HTML-Zeichenketten im profile/Platform Feld nicht korrekt bereinigt werden.
Ein entfernter, nicht authentifizierter Angreifer kann einen
Cross-Site-Scripting-Angriff durchführen.
CVE-2014-9269: Schwachstelle in MantisBT ermöglicht
Cross-Site-Scripting-Angriff
Eine Schwachstelle in der Art wie MantisBT das aktuelle Projekt auswählt,
führt dazu, dass bei der Verwendung des erweiterten Projekt Browser (
extended project browser ) nicht geprüft wird, ob es sich bei der
angegebenen Projekt ID wirklich um einen Integer Wert handelt. Ein
entfernter, nicht authentifizierter Angreifer kann durch einen präparierten
Projekt Cookie beliebigen Programmcode ausführen.
CVE-2014-9117: Schwachstelle in MantisBT ermöglicht das Umgehen von
Sicherheitsvorkehrungen
Eine Schwachstelle in MantisBT führt dazu, dass die CAPTCHA
Authentifizierung neuer Benutzer umgangen werden kann, wenn der Public_Key,
der für die CAPTCHA Antwort verwendet wird, bekannt ist. Ein entfernter,
nicht authentifizierter Angreifer kann Sicherheitsvorkehrungen umgehen.
CVE-2014-9089: Schwachstelle in MantisBT ermöglicht die Ausführung von
beliebigem Programmcode
In der Datei view_all_bug_page.php in MantisBT werden die Parameter ‘sort’
und ‘dir’ nicht korrekt geprüft. Die Parameter werden aufgespalten in
mehrere Blöcke, es werden aber nur die ersten zwei Blöcke geprüft. Daten in
einem dritten Block werden ungeprüft ausgeführt. Ein entfernter, nicht
authentifizierter Angreifer kann beliebigen Programmcode ausführen.
CVE-2014-8988: Schwachstelle in MantisBT ermöglicht das Ausspähen von
Informationen
Eine Schwachstelle in der Rechteprüfung von MantisBT führt dazu, dass ein
Angreifer durch das richtige Raten einer URL Anhänge aus Projekten
herunterladen kann, die durch Zugriffsbeschränkungen geschützt sind. Dazu
muss der Angreifer einem Projekt angehören in dem der Zugriff auf Anhänge
und die entsprechenden Download-URLs nicht beschränkt ist. Ein entfernter,
authentifizierter Angreifer kann Zugriff auf Informationen erhalten.
CVE-2014-8987: Schwachstelle in MantisBT ermöglicht
Cross-Site-Scripting-Angriff
Eine Schwachstelle in der Konfigurationsseite der Reports führt dazu, dass
Parameter nicht bereinigt werden, bevor sie verarbeitet werden. Ein
entfernter, authentifizierter Angreifer kann einen
Cross-Site-Scripting-Angriff ausführen.
CVE-2014-8986: Schwachstelle in MantisBT ermöglicht
Cross-Site-Scripting-Angriff
Eine Schwachstelle in der Konfigurationsseite für die Reports führt dazu,
dass die Auswahlliste der Filter nicht richtig verarbeitet wird. Dadurch ist
es einem Administrator möglich beliebigen Programmcode auszuführen. Diese
Schwachstelle unterscheidet sich von der Schwachstelle CVE-2014-8987. Ein
entfernter, authentifizierter Angreifer kann einen
Cross-Site-Scripting-Angriff durchführen.
CVE-2014-6316: Schwachstelle in MantisBT ermöglicht
Cross-Site-Scripting-Angriff
Eine Schwachstelle in der Bereinigung von URLs in MantisBT führt dazu, dass
eine Weiterleitung außerhalb der MantiBT-Instanz möglich ist, sofern die
Software im Root Verzeichnis des Webservers installiert ist. Ein entfernter,
nicht authentifizierter Angreifer kann ein Cross-Site-Scripting-Angriff
durchführen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-1647/
Schwachstelle CVE-2014-8986 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-8986
Schwachstelle CVE-2014-8988 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-8988
Schwachstelle CVE-2014-9089 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-9089
Schwachstelle CVE-2014-9117 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-9117
Schwachstelle CVE-2014-9270 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-9270
Schwachstelle CVE-2014-9279 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-9279
Schwachstelle CVE-2014-9280 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-9280
Schwachstelle CVE-2014-9281 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-9281
Fedora Security Update FEDORA-2014-16504:
https://admin.fedoraproject.org/updates/FEDORA-2014-16504/mantis-1.2.18-1.fc19
Fedora Security Update FEDORA-2014-16546:
https://admin.fedoraproject.org/updates/FEDORA-2014-16546/mantis-1.2.18-1.fc20
Fedora Security Update FEDORA-2014-16609:
https://admin.fedoraproject.org/updates/FEDORA-2014-16609/mantis-1.2.18-1.fc21
Schwachstelle CVE-2014-6316 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6316
Schwachstelle CVE-2014-8987 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-8987
Schwachstelle CVE-2014-9269 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-9269
Schwachstelle CVE-2014-9272 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-9272
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
