Mozilla reparó una vulnerabilidad crítica (CVE-2015-4499) en su popular Bugzilla, software de código abierto de seguimiento de fallas, ésta es una vulnerabilidad que puede ser explotada por los atacantes para ganar acceso a la información sobre los fallos aún no parchados.

"El descubrimiento de la vulnerabilidad permite a un atacante obtener permisos en el servicio Bugzilla que de otra manera no tendría. Esto es posible al engañar al sistema haciendo creer que el atacante es parte de un dominio privilegiado, causando que el sistema obtenga permisos específicos de dominio", compartió Netanel Rubin, investigador senior de vulnerabilidades para PerimeterX.

"Los nombres de inicio de sesión (usualmente correo electrónico) mayores a 127 caracteres son truncados en MySQL, lo que puede provocar que el nombre de dominio del correo electrónico se vea afectado", explicó Mozilla en un aviso de seguridad publicado a lo largo de las actualizaciones. "Un atacante puede usar esta vulnerabilidad para crear una cuenta con un correo electrónico diferente del que originalmente se solicitó. Entonces el nombre de inicio de sesión puede ser automáticamente agregado a grupos en función del ajuste de la expresión regular establecida para dicho grupo".

Netanel Rubin y sus colegas, Byron Jones y Frédéric Buclin descubrieron el fallo el 7 de septiembre y notificaron a Mozilla (lo probaron en Bugzilla). Le tomó 3 días a la organización corregirlo e incluir el parche en las versiones 5.0.1, 4.4.10 y 4.2.15 de Bugzilla, liberadas el 10 de septiembre.

Todas las versiones previas de Bugzilla son vulnerables, así que los administradores de Bugzilla están avisados de actualizar su instalación lo más pronto posible. Los parches también están disponibles de manera individual.

"Si estás usando permisos basados en tu correo electrónico en tu implementación de Bugzilla y no tienes aún instalada la versión corregida, entonces dala de baja hasta que la actualices", indica Rubin. "Asegurate de revisar las bitácoras y las listas de usuarios identificados que fueron creadas usando esta vulnerabilidad. La falla es extremadamente fácil de explotar y los detalles han sido conocidos por más de una semana, seguramente ya has sido o serás atacado".

Para mayores detalles técnicos sobre el fallo, hay una publicación en el blog de Rubin. El descubrimiento del fallo viene pocos días después de que Mozilla admitiera que un hacker obtuvo acceso a su propia instalación de Bugzilla y tuvo acceso a la información de vulnerabilidades en sus productos durante más de un año.