发布日期：2003-01-02
更新日期：2003-01-08

受影响系统：

Mozilla Bugzilla 2.17.1
Mozilla Bugzilla 2.17
Mozilla Bugzilla 2.16.1
Mozilla Bugzilla 2.16
Mozilla Bugzilla 2.14.4
Mozilla Bugzilla 2.14.3
Mozilla Bugzilla 2.14.1
Mozilla Bugzilla 2.14
Mozilla Bugzilla 2.14.2
    - Debian Linux 3.0 alpha
    - Debian Linux 3.0 IA-32
    - Debian Linux 3.0 arm
    - Debian Linux 3.0 powerpc
    - Debian Linux 3.0 68k
    - Debian Linux 3.0 i386
    - Debian Linux 3.0 sparc

不受影响系统：

Mozilla Bugzilla 2.17.3
Mozilla Bugzilla 2.16.2
Mozilla Bugzilla 2.14.5

描述：

---

BUGTRAQ  ID: 6502
CVE(CAN) ID: CVE-2003-0012

Bugzilla是一款基于WEB的漏洞跟踪收集系统，使用了Perl和MySQL数据库，可运行在多种Unix和Linux操作系统下。

Bugzilla提供的数据收集脚本不正确设置data/mining目录权限，本地攻击者可以利用这个漏洞更改或删除收集的数据。

数据收集脚本以cron作业方式工作，每次起运行的时候会更改data/mining目录为全局可写，利用这段时间本地用户可以更改data/mining目录中的任意收集数据。

<*来源：David Miller （justdave@syndicomm.com）
  
  链接：http://marc.theaimsgroup.com/?l=bugtraq&m=104154319200399&w=2
*>

建议：

---

厂商补丁：

Mozilla
-------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

Mozilla Bugzilla 2.14:

Bugzilla Upgrade Bugzilla 2.14.5
http://www.bugzilla.org/download.html

Mozilla Bugzilla 2.14.1:

Bugzilla Upgrade Bugzilla 2.14.5
http://www.bugzilla.org/download.html

Mozilla Bugzilla 2.14.2:

Bugzilla Upgrade Bugzilla 2.14.5
http://www.bugzilla.org/download.html

Mozilla Bugzilla 2.14.3:

Bugzilla Upgrade Bugzilla 2.14.5
http://www.bugzilla.org/download.html

Mozilla Bugzilla 2.14.4:

Bugzilla Upgrade Bugzilla 2.14.5
http://www.bugzilla.org/download.html

Bugzilla Patch bugzilla-2.14.4-to-2.14.5.diff.gz
http://ftp.mozilla.org/pub/webtools/bugzilla-2.14.4-to-2.14.5.diff.gz

Mozilla Bugzilla 2.16:

Bugzilla Upgrade Bugzilla 2.16.2
http://www.bugzilla.org/download.html

Mozilla Bugzilla 2.16.1:

Bugzilla Upgrade Bugzilla 2.16.2
http://www.bugzilla.org/download.html

Bugzilla Patch bugzilla-2.16.1-to-2.16.2.diff.gz
http://ftp.mozilla.org/pub/webtools/bugzilla-2.16.1-to-2.16.2.diff.gz

Mozilla Bugzilla 2.17:

Bugzilla Upgrade Bugzilla 2.17.3
http://www.bugzilla.org/download.html

Mozilla Bugzilla 2.17.1:

Bugzilla Upgrade Bugzilla 2.17.3
http://www.bugzilla.org/download.html

浏览次数：3059
严重程度：0（网友投票）