Bugzilla : une faille zero day révèle les bugs des logiciels

Un bogue dans Bugzilla permet de consulter la liste des vulnérabilités non corrigées dans un logiciel. Un souci qui a été rapidement éliminé.

Le problème qui touche aujourd’hui le système de suivi des bogues Bugzilla est inédit. Le logiciel permet en effet d’afficher la liste des vulnérabilités non corrigées présentes dans une application. De quoi faciliter le travail des pirates.

En principe les failles non comblées ne sont pas affichées publiquement, afin de ralentir leur exploitation (ou la mise au point d’un exploit). Seuls les développeurs du projet concerné en sont informés. Ce bug de Bugzilla, qui révèle publiquement les bugs de sécurité des logiciels, met donc à mal un grand nombre d’applications.

Correction de bogues pour Bugzilla

Lors de la procédure d’inscription sur une instance de Bugzilla, il est possible de passer outre la vérification de l’e-mail, et d’obtenir par ce biais certains droits étendus, en indiquant posséder une adresse e-mail utilisant le nom de domaine du projet.

Quatre failles de sécurité ont été éliminées dans les versions 4.0.15, 4.2.11, 4.4.6 et 4.5.6 de Bugzilla. La mise à jour de l’application devra être réalisée sans tarder, afin de se prémunir de ces vulnérabilités. Les versions suivantes de cet outil sont touchées :