🇰🇷 한글 설명
Bugzilla의 sudo 기능이 사용자 가장(impersonation) 알림을 제대로 발송하지 않아, 인증된 공격자가 다른 사용자로 로그인한 후 적발되지 않을 수 있다. 이는 관리자가 가장된 활동을 감지하기 어렵게 만든다.
💡 쉬운 설명
Bugzilla에서 관리자가 다른 사람 계정으로 임시 접근할 때, 그 사실을 알려주는 알림이 제대로 발송되지 않는 문제입니다. 따라서 누군가 당신의 계정으로 활동해도 알아차리기 어렵게 됩니다.
🇺🇸 원문 (English)
The sudo feature in Bugzilla 2.22rc1 through 3.2.7, 3.3.1 through 3.4.7, 3.5.1 through 3.6.1, and 3.7 through 3.7.2 does not properly send impersonation notifications, which makes it easier for remote authenticated users to impersonate other users without discovery.
📍 영향받는 시스템
Bugzilla 2.22rc1~3.2.7, 3.3.1~3.4.7, 3.5.1~3.6.1, 3.7~3.7.2
⚔️ 공격 벡터
인증된 사용자가 sudo 기능을 이용하여 다른 사용자 계정으로 가장한 후, 가장 알림이 발송되지 않아 활동이 숨겨짐
🛡️ 대응 방법
Bugzilla를 3.2.8, 3.4.8, 3.6.2, 3.7.3 이상으로 업그레이드하거나 sudo 기능 사용 제한
🔧 검증 코드
설치된 Bugzilla 버전이 표시됩니다. 위 영향받는 버전 범위에 속하면 취약하며, 권장 버전 이상이면 패치됨
rpm -qa bugzilla 2>/dev/null || apt-cache policy bugzilla 2>/dev/null | grep Installed