NVD Vulnerability Detail

CVE-2012-0465

Summary	Bugzilla 3.5.x and 3.6.x before 3.6.9, 3.7.x and 4.0.x before 4.0.6, and 4.1.x and 4.2.x before 4.2.1, when the inbound_proxies option is enabled, does not properly validate the X-Forwarded-For HTTP header, which allows remote attackers to bypass the lockout policy via a series of authentication requests with (1) different IP address strings in this header or (2) a long string in this header.
Publication Date	April 28, 2012, 5:55 a.m.
Registration Date	Jan. 28, 2021, 2:53 p.m.
Last Update	Nov. 21, 2024, 10:35 a.m.

Affected software configurations

Related information, measures and tools

No	URL	タグ
1	http://archives.neohapsis.com/archives/bugtraq/2012-04/0135.html
2	http://lists.fedoraproject.org/pipermail/package-announce/2012-May/079432.html
3	http://lists.fedoraproject.org/pipermail/package-announce/2012-May/079481.html
4	http://lists.fedoraproject.org/pipermail/package-announce/2012-May/079604.html
5	https://bugzilla.mozilla.org/show_bug.cgi?id=728639	Patch
6	http://archives.neohapsis.com/archives/bugtraq/2012-04/0135.html
7	https://bugzilla.mozilla.org/show_bug.cgi?id=728639	Patch
8	http://lists.fedoraproject.org/pipermail/package-announce/2012-May/079604.html
9	http://lists.fedoraproject.org/pipermail/package-announce/2012-May/079481.html
10	http://lists.fedoraproject.org/pipermail/package-announce/2012-May/079432.html

Common Vulnerabilities List

No	CWE	Name	URL
1	CWE-264	認可・権限・アクセス制御	https://cwe.mitre.org/data/definitions/264.html

JVN Vulnerability Information

Bugzilla におけるロックアウトポリシーを回避される脆弱性

Title	Bugzilla におけるロックアウトポリシーを回避される脆弱性
Summary	Bugzilla は、inbound_proxies オプションが有効である場合、X-Forwarded-For HTTP ヘッダを適切に検証しないため、ロックアウトポリシーを回避される脆弱性が存在します。
Possible impacts	第三者により、当該のヘッダが (1) 異なる IP アドレス、または (2) 過度に長い文字列である一連の認証要求を介して、ロックアウトポリシーを回避される可能性があります。
Solution	ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
Publication Date	April 27, 2012, midnight
Registration Date	May 1, 2012, 3:06 p.m.
Last Update	Sept. 3, 2012, 4:42 p.m.

Affected System

Mozilla Foundation

Bugzilla 3.5.x

Bugzilla 3.6.9 未満の 3.6.x

Bugzilla 3.7.x

Bugzilla 4.0.6 未満の 4.0.x

Bugzilla 4.1.x

Bugzilla 4.2.1 未満の 4.2.x

CVE (情報セキュリティ共通脆弱性識別子)

No	Name	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2012-0465	http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-0465
National Vulnerability Database (NVD)
2	CVE-2012-0465	http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2012-0465

CWE (共通脆弱性タイプ一覧)

No	Name	URL
JVNDB
1	CWE-264	https://jvndb.jvn.jp/ja/cwe/CWE-264.html

ベンダー情報

No	Name	URL
Fedora Update Notification
1	FEDORA-2012-6282	http://lists.fedoraproject.org/pipermail/package-announce/2012-May/079604.html
2	FEDORA-2012-6368	http://lists.fedoraproject.org/pipermail/package-announce/2012-May/079432.html
3	FEDORA-2012-6396	http://lists.fedoraproject.org/pipermail/package-announce/2012-May/079481.html
Mozilla Foundation
4	4.2, 4.0.5, and 3.6.8 Security Advisory	http://www.bugzilla.org/security/3.6.8/
5	Bug 728639	https://bugzilla.mozilla.org/show_bug.cgi?id=728639

Change Log

No	Changed Details	Date of change
0	[2012年05月01日] 掲載 [2012年09月03日] ベンダ情報：Fedora Project (FEDORA-2012-6282) を追加ベンダ情報：Fedora Project (FEDORA-2012-6368) を追加ベンダ情報：Fedora Project (FEDORA-2012-6396) を追加	Feb. 17, 2018, 10:37 a.m.