Bugzilla bis 5.0.1 CSV File Handler Template.pm Information Disclosure

Allgemein

scipID: 80052

Betroffen: Bugzilla bis 5.0.1

Veröffentlicht: 03.01.2016

Risiko: problematisch

Erstellt: 04.01.2016

Eintrag: 65.7% komplett

Beschreibung

Es wurde eine problematische Schwachstelle in Bugzilla bis 5.0.1 ausgemacht. Es geht dabei um eine unbekannte Funktion der Datei Template.pm der Komponente CSV File Handler. Mittels dem Manipulieren mit einer unbekannten Eingabe kann eine Information Disclosure-Schwachstelle ausgenutzt werden. Mit Auswirkungen muss man rechnen für die Vertraulichkeit. CVE fasst zusammen:

Template.pm in Bugzilla 2.x, 3.x, and 4.x before 4.2.16, 4.3.x and 4.4.x before 4.4.11, and 4.5.x and 5.0.x before 5.0.2 does not properly construct CSV files, which allows remote attackers to obtain sensitive information by leveraging a web browser that interprets CSV data as JavaScript code.

Die Schwachstelle wurde am 03.01.2016 publik gemacht. Die Verwundbarkeit wird unter CVE-2015-8509 geführt. Der Angriff kann über das Netzwerk erfolgen. Es sind zwar technische Details, jedoch kein verfügbarer Exploit zur Schwachstelle bekannt.

CVSS

Base Score: 3.5 (CVSS2#AV:N/AC:M/Au:S/C:P/I:N/A:N) [?]

Temp Score: 3.0 (CVSS2#E:ND/RL:OF/RC:ND) [?]

CPE

• cpe:/a:bugzilla:bugzilla:5.0.0


• cpe:/a:bugzilla:bugzilla:5.0.1

Exploiting

Klasse: Information Disclosure

Lokal: Nein

Remote: Ja

Verfügbarkeit: Nein

Aktuelle Preisschätzung: $5k-$10k (0-day) / $2k-$5k (Heute)

Gegenmassnahmen

Empfehlung: Upgrade

Status: Offizieller Fix

0-Day Time: 0 Tage seit gefunden

Upgrade: Bugzilla 5.0.2

Timeline

03.01.2016 | Advisory veröffentlicht
04.01.2016 | VulDB Eintrag erstellt
04.01.2016 | VulDB Eintrag aktualisiert

Quellen

CVE: CVE-2015-8509 (mitre.org) (nvd.nist.org) (cvedetails.com)