发布日期：2003-01-02
更新日期：2003-01-08

受影响系统：

Mozilla Bugzilla 2.17.1
Mozilla Bugzilla 2.17
Mozilla Bugzilla 2.16.1
Mozilla Bugzilla 2.16
Mozilla Bugzilla 2.14.4
Mozilla Bugzilla 2.14.3
Mozilla Bugzilla 2.14.1
Mozilla Bugzilla 2.14
Mozilla Bugzilla 2.14.2
    - Debian Linux 3.0 alpha
    - Debian Linux 3.0 IA-32
    - Debian Linux 3.0 arm
    - Debian Linux 3.0 powerpc
    - Debian Linux 3.0 68k
    - Debian Linux 3.0 i386
    - Debian Linux 3.0 sparc

不受影响系统：

Mozilla Bugzilla 2.17.3
Mozilla Bugzilla 2.16.2
Mozilla Bugzilla 2.14.5

描述：

---

BUGTRAQ  ID: 6501
CVE(CAN) ID: CVE-2003-0013

Bugzilla是一款基于WEB的漏洞跟踪收集系统，使用了Perl和MySQL数据库，可运行在多种Unix和Linux操作系统下。

Bugzilla中默认.htaccess脚本没有正确防止用户对localconfig备份文件的访问，远程攻击者可以利用这个漏洞获得敏感信息，包括数据库密码。

由checksetup.pl提供的.htaccess脚本，没有正确防止远程攻击者对localconfig备份文件的访问，如果用户使用了vi或者emacs编辑localconfig文件后，会建立.swp或者~suffix文件，这些文件可以直接被任何用户访问下载，并可能获得Bugzilla使用的数据库密码信息。

<*来源：David Miller （justdave@syndicomm.com）
  
  链接：http://marc.theaimsgroup.com/?l=bugtraq&m=104154319200399&w=2
*>

建议：

---

厂商补丁：

Mozilla
-------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

Mozilla Bugzilla 2.14:

Bugzilla Upgrade Bugzilla 2.14.5
http://www.bugzilla.org/download.html

Mozilla Bugzilla 2.14.1:

Bugzilla Upgrade Bugzilla 2.14.5
http://www.bugzilla.org/download.html

Mozilla Bugzilla 2.14.2:

Bugzilla Upgrade Bugzilla 2.14.5
http://www.bugzilla.org/download.html

Mozilla Bugzilla 2.14.3:

Bugzilla Upgrade Bugzilla 2.14.5
http://www.bugzilla.org/download.html

Mozilla Bugzilla 2.14.4:

Bugzilla Upgrade Bugzilla 2.14.5
http://www.bugzilla.org/download.html

Bugzilla Patch bugzilla-2.14.4-to-2.14.5.diff.gz
http://ftp.mozilla.org/pub/webtools/bugzilla-2.14.4-to-2.14.5.diff.gz

Mozilla Bugzilla 2.16:

Bugzilla Upgrade Bugzilla 2.16.2
http://www.bugzilla.org/download.html

Mozilla Bugzilla 2.16.1:

Bugzilla Upgrade Bugzilla 2.16.2
http://www.bugzilla.org/download.html

Bugzilla Patch bugzilla-2.16.1-to-2.16.2.diff.gz
http://ftp.mozilla.org/pub/webtools/bugzilla-2.16.1-to-2.16.2.diff.gz

Mozilla Bugzilla 2.17:

Bugzilla Upgrade Bugzilla 2.17.3
http://www.bugzilla.org/download.html

Mozilla Bugzilla 2.17.1:

Bugzilla Upgrade Bugzilla 2.17.3
http://www.bugzilla.org/download.html

浏览次数：4756
严重程度：9（网友投票）