CVE:CVE-2010-2756
CNNVD:CNNVD-201008-148
Bugzilla是很多软件项目都在使用的基于Web的BUG跟踪系统。
Bugzilla 2.19.1至3.2.7版本，3.3.1至3.4.7版本，3.5.1至3.6.1版本，以及3.7至3.7.2版本中的Search.pm存在漏洞。正常情况下非特权用户是不允许查看其他用户的组所有权，但布尔表允许用户使用基于组的代词，间接泄露组所有权。远程攻击者可以借助涉及搜索界面，布尔图表和基于组的代词的向量确定任意用户的组成员身份。
solution:Upgrade mozilla bugzilla to a higher version than 2.2,2.4,2.6,2.8,2.9,2.19.1,2.19.2,2.19.3,2.20,2.20:rc1,2.20:rc2,2.20.1,2.20.2,2.20.3,2.20.4,2.20.5,2.20.6,2.20.7,2.21,2.21.1,2.21.2,2.22,2.22:rc1,2.22.1,2.22.3,2.22.4,2.22.5,2.22.6,2.22.7,2.23,2.23.1,2.23.2,2.23.3,2.23.4,3.0,3.0:rc1,3.0.0,3.0.1,3.0.2,3.0.3,3.0.4,3.0.5,3.0.6,3.0.7,3.0.8,3.0.9,3.0.10,3.0.11,3.1.0,3.1.1,3.1.2,3.1.3,3.2,3.2.2,3.2.3,3.2.4,3.2.5,3.2.6,3.2.7,3.3.1,3.3.2,3.3.3,3.3.4,3.4.1,3.4.2,3.4.3,3.4.4,3.4.5,3.4.6,3.4.7,3.5.1,3.5.2,3.5.3,3.6,3.6.1,3.7,3.7.1,3.7.2,and avoid the version 2.2,2.4,2.6,2.8,2.9,2.19.1,2.19.2,2.19.3,2.20,2.20:rc1,2.20:rc2,2.20.1,2.20.2,2.20.3,2.20.4,2.20.5,2.20.6,2.20.7,2.21,2.21.1,2.21.2,2.22,2.22:rc1,2.22.1,2.22.3,2.22.4,2.22.5,2.22.6,2.22.7,2.23,2.23.1,2.23.2,2.23.3,2.23.4,3.0,3.0:rc1,3.0.0,3.0.1,3.0.2,3.0.3,3.0.4,3.0.5,3.0.6,3.0.7,3.0.8,3.0.9,3.0.10,3.0.11,3.1.0,3.1.1,3.1.2,3.1.3,3.2,3.2.2,3.2.3,3.2.4,3.2.5,3.2.6,3.2.7,3.3.1,3.3.2,3.3.3,3.3.4,3.4.1,3.4.2,3.4.3,3.4.4,3.4.5,3.4.6,3.4.7,3.5.1,3.5.2,3.5.3,3.6,3.6.1,3.7,3.7.1,3.7.2