S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 06 octobre 2010 No CERTA-2010-AVI-473

Affaire suivie par :

CERTA

Objet : Vulnérabilités dans MantisBT

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Injection de code indirecte à distance.

2 Systèmes affectés

MantisBT, versions antérieures à la version 1.2.3.

3 Résumé

4 Description

Des vulnérabilités de type XSS l'affectent :

• l'une d'elles réside dans la page de résumé d'un signalement (summary). Elle est exploitable par un utilisateur malveillant distant ;
• les autres, dans les composants manage_plugin_uninstall.php, cfdef_standard.php et print_all_bug_page_word.php, sont exploitables par un administrateur authentifié.

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Bulletin de version de MantisBT du 14 septembre 2010 :

  http://www.mantisbt.org/bugs/changelog_page.php?version_id=111
  

• Site de téléchargement du projet MantisBT :

  http://www.mantisbt.org/download.php
  

• Référence CVE CVE-2010-3303 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-3303
  

• Référence CVE CVE-2010-3763 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-3763
  

Gestion détaillée du document

06 octobre 2010

version initiale.