Mozilla Bugzilla bis 2.19.3 process_bug.cgi flag::validate Information Disclosure

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
5.1$0-$5k0.00

Zusammenfassunginfo

In Mozilla Bugzilla bis 2.19.3 wurde eine Schwachstelle entdeckt. Sie wurde als problematisch eingestuft. Dies betrifft die Funktion flag::validate der Datei process_bug.cgi. Mit der Manipulation mit unbekannten Daten kann eine Information Disclosure-Schwachstelle ausgenutzt werden. Diese Schwachstelle wird als CVE-2005-2173 gehandelt. Es ist kein Exploit verfügbar. Es wird empfohlen, die betroffene Komponente zu aktualisieren.

Detailsinfo

In Mozilla Bugzilla bis 2.19.3 (Bug Tracking Software) wurde eine problematische Schwachstelle entdeckt. Es geht um die Funktion flag::validate der Datei process_bug.cgi. Durch das Beeinflussen mit einer unbekannten Eingabe kann eine Information Disclosure-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-200. Dies hat Einfluss auf Vertraulichkeit und Integrität. Die Zusammenfassung von CVE lautet:

The Flag::validate and Flag::modify functions in Bugzilla 2.17.1 to 2.18.1 and 2.19.1 to 2.19.3 do not verify that the flag ID is appropriate for the given bug or attachment ID, which allows users to change flags on arbitrary bugs and obtain a bug summary via process_bug.cgi.

Gefunden wurde das Problem am 08.07.2005. Die Schwachstelle wurde am 08.07.2005 als Bug 293159 in Form eines bestätigten Bug Reports (Bugzilla) öffentlich gemacht. Bereitgestellt wird das Advisory unter bugzilla.mozilla.org. Die Verwundbarkeit wird seit dem 08.07.2005 als CVE-2005-2173 geführt. Sie gilt als leicht ausnutzbar. Der Angriff kann über das Netzwerk angegangen werden. Um eine Ausnutzung durchzusetzen, muss keine spezifische Authentisierung umgesetzt werden. Technische Details sind bekannt, ein verfügbarer Exploit hingegen nicht. Als Angriffstechnik weist das MITRE ATT&CK Projekt die ID T1592 aus.

Für den Vulnerability Scanner Nessus wurde am 14.07.2005 ein Plugin mit der ID 19199 (GLSA-200507-12 : Bugzilla: Unauthorized access and information disclosure) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Gentoo Local Security Checks zugeordnet und im Kontext l ausgeführt.

Ein Aktualisieren vermag dieses Problem zu lösen. Das Erscheinen einer Gegenmassnahme geschah 5 Tage nach der Veröffentlichung der Schwachstelle. Mozilla hat demnach ziemlich schnell gehandelt.

Unter anderem wird der Fehler auch in den Datenbanken von X-Force (21316), Tenable (19199), SecurityFocus (BID 14198†), OSVDB (17800†) und SecurityTracker (ID 1014428†) dokumentiert. Schwachstellen ähnlicher Art sind dokumentiert unter VDB-25706. Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

Produktinfo

Typ

Hersteller

Name

Version

Lizenz

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 5.3
VulDB Meta Temp Score: 5.1

VulDB Base Score: 5.3
VulDB Temp Score: 5.1
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Information Disclosure
CWE: CWE-200 / CWE-284 / CWE-266
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Nicht definiert

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Nessus ID: 19199
Nessus Name: GLSA-200507-12 : Bugzilla: Unauthorized access and information disclosure
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍
Nessus Context: 🔍
Nessus Port: 🔍

OpenVAS ID: 54208
OpenVAS Name: FreeBSD Ports: bugzilla, ja-bugzilla
OpenVAS Datei: 🔍
OpenVAS Family: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

Reaktionszeit: 🔍
0-Day Time: 🔍
Exposure Time: 🔍

Timelineinfo

08.07.2005 🔍
08.07.2005 +0 Tage 🔍
08.07.2005 +0 Tage 🔍
08.07.2005 +0 Tage 🔍
08.07.2005 +0 Tage 🔍
08.07.2005 +0 Tage 🔍
08.07.2005 +0 Tage 🔍
12.07.2005 +4 Tage 🔍
13.07.2005 +1 Tage 🔍
14.07.2005 +1 Tage 🔍
11.03.2015 +3527 Tage 🔍
02.06.2019 +1544 Tage 🔍

Quelleninfo

Hersteller: mozilla.org

Advisory: Bug 293159
Status: Bestätigt
Bestätigung: 🔍

CVE: CVE-2005-2173 (🔍)
GCVE (CVE): GCVE-0-2005-2173
GCVE (VulDB): GCVE-100-25705
X-Force: 21316
SecurityFocus: 14198 - Bugzilla Unauthorized Flag Change Access Validation Vulnerability
OSVDB: 17800 - Bugzilla - Unauthorized Flag Change Access Validation Vulnerability
SecurityTracker: 1014428
Vulnerability Center: 8525 - Mozilla Bugzilla Information Disclosure Enables Access to Private Bugs, Medium

Siehe auch: 🔍

Eintraginfo

Erstellt: 11.03.2015 11:41
Aktualisierung: 02.06.2019 22:37
Anpassungen: 11.03.2015 11:41 (75), 02.06.2019 22:37 (11)
Komplett: 🔍
Cache ID: 216::103

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you know our Splunk app?

Download it now for free!