发布日期：2005-07-11
更新日期：2005-07-11

受影响系统：

Mozilla Bugzilla 2.19.3
Mozilla Bugzilla 2.19.2
Mozilla Bugzilla 2.19.1
Mozilla Bugzilla 2.18 rc3
Mozilla Bugzilla 2.18 rc2
Mozilla Bugzilla 2.18 rc1
Mozilla Bugzilla 2.17.7
Mozilla Bugzilla 2.17.6
Mozilla Bugzilla 2.17.5
Mozilla Bugzilla 2.17.4
Mozilla Bugzilla 2.17.3
Mozilla Bugzilla 2.17.1

不受影响系统：

Mozilla Bugzilla 2.20 rc1
Mozilla Bugzilla 2.18.2

描述：

---

BUGTRAQ  ID: 14200
CVE(CAN) ID: CVE-2005-2174

Bugzilla是很多软件项目都在使用的基于Web的漏洞跟踪系统。

Bugzilla软件在处理漏洞标记时存在竞争条件漏洞，攻击者可能利用此漏洞非授权访问到某些漏洞信息。

漏洞标记为保密之前便加入到了数据库。这样，在加入漏洞和标记为保密这段时间之间MySQL复制有一个延迟（通常小于1秒）。攻击者可以利用在这段延迟时间中访问漏洞摘要。在非常慢的机器上，延迟的时间会多余1秒，这就允许攻击者浏览新归档漏洞的标题。

<*来源：Frédéric Buclin （LpSolit@gmail.com）
        Matthias Versen
        Joel Peshkin
        Myk Melez
  
  链接：http://www.bugzilla.org/security/2.18.1/
*>

建议：

---

厂商补丁：

Mozilla
-------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

Mozilla Bugzilla 2.17.1
     * Mozilla Upgrade bugzilla-2.18.2.tar.gz
       http://ftp.mozilla.org/pub/mozilla.org/webtools/bugzilla-2.18.2.tar.gz

Mozilla Bugzilla 2.17.3
     * Mozilla Upgrade bugzilla-2.18.2.tar.gz
       http://ftp.mozilla.org/pub/mozilla.org/webtools/bugzilla-2.18.2.tar.gz

Mozilla Bugzilla 2.17.4
     * Mozilla Upgrade bugzilla-2.18.2.tar.gz
       http://ftp.mozilla.org/pub/mozilla.org/webtools/bugzilla-2.18.2.tar.gz

Mozilla Bugzilla 2.17.5
     * Mozilla Upgrade bugzilla-2.18.2.tar.gz
       http://ftp.mozilla.org/pub/mozilla.org/webtools/bugzilla-2.18.2.tar.gz

Mozilla Bugzilla 2.17.6
     * Mozilla Upgrade bugzilla-2.18.2.tar.gz
       http://ftp.mozilla.org/pub/mozilla.org/webtools/bugzilla-2.18.2.tar.gz

Mozilla Bugzilla 2.17.7
     * Mozilla Upgrade bugzilla-2.18.2.tar.gz
       http://ftp.mozilla.org/pub/mozilla.org/webtools/bugzilla-2.18.2.tar.gz

Mozilla Bugzilla 2.18 rc1
     * Mozilla Upgrade bugzilla-2.18.2.tar.gz
       http://ftp.mozilla.org/pub/mozilla.org/webtools/bugzilla-2.18.2.tar.gz

Mozilla Bugzilla 2.18 rc3
     * Mozilla Upgrade bugzilla-2.18.2.tar.gz
       http://ftp.mozilla.org/pub/mozilla.org/webtools/bugzilla-2.18.2.tar.gz

Mozilla Bugzilla 2.18 rc2
     * Mozilla Upgrade bugzilla-2.18.2.tar.gz
       http://ftp.mozilla.org/pub/mozilla.org/webtools/bugzilla-2.18.2.tar.gz

Mozilla Bugzilla 2.18.1
     * Mozilla Upgrade bugzilla-2.18.2.tar.gz
       http://ftp.mozilla.org/pub/mozilla.org/webtools/bugzilla-2.18.2.tar.gz

Mozilla Bugzilla 2.19.1
     * Mozilla Upgrade bugzilla-2.20rc1.tar.gz
       http://ftp.mozilla.org/pub/mozilla.org/webtools/bugzilla-2.20rc1.tar.gz

Mozilla Bugzilla 2.19.2
     * Mozilla Upgrade bugzilla-2.20rc1.tar.gz
       http://ftp.mozilla.org/pub/mozilla.org/webtools/bugzilla-2.20rc1.tar.gz

Mozilla Bugzilla 2.19.3
     * Mozilla Upgrade bugzilla-2.20rc1.tar.gz
       http://ftp.mozilla.org/pub/mozilla.org/webtools/bugzilla-2.20rc1.tar.gz

浏览次数：2630
严重程度：0（网友投票）