SuSE 10 安全更新:Mozilla Firefox(ZYPP 修补程序编号 8029)

high Nessus 插件 ID 58525

简介

远程 SuSE 10 主机缺少与安全有关的修补程序。

描述

Mozilla Firefox 已更新到 3.6.28,修复了多种缺陷和安全问题。

修复了以下安全问题:

- Mozilla 开发人员已发现并修复 Firefox 和其他基于 Mozilla 的产品中使用的浏览器引擎的多个内存安全缺陷。这些缺陷中的一部分在特定情况下可导致内存损坏,我们推测只要通过足够的手段,至少能利用其中部分缺陷来运行任意代码。(MFSA 2012-19)

一般情况下,因为脚本已禁用,所以这些缺陷在 Thunderbird 和 SeaMonkey 产品中无法通过电子邮件被利用,但在上述产品的浏览器或类似浏览器的上下文中仍存在潜在风险。
引用

Bob Clary 报告了两个造成崩溃的缺陷,这些缺陷影响 Firefox 3.6、Firefox ESR 和 Firefox 10。
(CVE-2012-0461)

Christian Holler、Jesse Ruderman、Nils、Michael Bebenita、Dindog 和 David Anderson 报告了影响 Firefox ESR 和 Firefox 10 的内存安全问题和崩溃。(CVE-2012-0462)

Jeff Walden 报告了 array.join 函数中的一个内存安全问题。Vincenzo Iozzo 通过 TippingPoint 零日计划 Pwn2Own 竞赛独立报告了此缺陷。(CVE-2012-0464)

Masayuki Nakano 报告了影响 Mobile Firefox 10 的内存安全问题。(CVE-2012-0463)

- 安全研究人员 Mariusz Mlynski 报告,能够诱使潜在受害者通过触发指向“主页”按钮的链接来设置新的主页的攻击者可将该用户的主页设置为 javascript: URL。完成此操作后,该攻击者的页面可以导致浏览器反复崩溃,最终在特权 about:sessionrestore 上下文中加载该脚本 URL。(MFSA 2012-16 / CVE-2012-0458)

- OUSPG 的安全研究人员 Atte Kettunen 使用地址审查器工具发现了 Firefox 对 SVG 的处理中的两个问题。第一个问题的评级为危急,是 SVG 动画中的释放后使用,可能导致任意代码执行。第二个问题的评级为中危,是 SVG 过滤器中的越界读取问题。这可能包含来自用户内存的数据,从而使页面内容可以访问这些数据。(MFSA 2012-14 / CVE-2012-0457 / CVE-2012-0456)

- Firefox 阻止将 javascript: 链接放置到框架上,以防止恶意站点诱骗用户对自己执行跨站脚本 (XSS) 攻击。安全研究人员 Soroush Dalili 报告了一种绕过此保护的方法。(MFSA 2012-13 / CVE-2012-0455)

完整的概述请参阅 Mozillas 安全页面:
http://www.mozilla.org/security/announce/

解决方案

应用 ZYPP 修补程序编号 8029。

另见

https://www.mozilla.org/en-US/security/advisories/mfsa2012-13/

https://www.mozilla.org/en-US/security/advisories/mfsa2012-14/

https://www.mozilla.org/en-US/security/advisories/mfsa2012-16/

https://www.mozilla.org/en-US/security/advisories/mfsa2012-19/

http://support.novell.com/security/cve/CVE-2012-0455.html

http://support.novell.com/security/cve/CVE-2012-0456.html

http://support.novell.com/security/cve/CVE-2012-0457.html

http://support.novell.com/security/cve/CVE-2012-0458.html

http://support.novell.com/security/cve/CVE-2012-0461.html

http://support.novell.com/security/cve/CVE-2012-0462.html

http://support.novell.com/security/cve/CVE-2012-0463.html

http://support.novell.com/security/cve/CVE-2012-0464.html

插件详情

严重性: High

ID: 58525

文件名: suse_firefox-201203-8029.nasl

版本: 1.9

类型: local

代理: unix

发布时间: 2012/3/29

最近更新时间: 2021/1/19

支持的传感器: Nessus Agent

风险信息

VPR

风险因素: Medium

分数: 5.9

CVSS v2

风险因素: High

基本分数: 9.3

矢量: AV:N/AC:M/Au:N/C:C/I:C/A:C

漏洞信息

CPE: cpe:/o:suse:suse_linux

必需的 KB 项: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list

补丁发布日期: 2012/3/22

漏洞发布日期: 2012/3/14

参考资料信息

CVE: CVE-2012-0455, CVE-2012-0456, CVE-2012-0457, CVE-2012-0458, CVE-2012-0461, CVE-2012-0462, CVE-2012-0463, CVE-2012-0464