Scientific Linux 安全更新：SL4.x、SL5.x i386/x86_64 中的 firefox

high Nessus 插件 ID 60849

语言：

简介

远程 Scientific Linux 主机缺少一个或多个安全更新。

描述

在对畸形 Web 内容的处理中发现多个缺陷。包含恶意内容的网页可导致 Firefox 崩溃，或者可能以运行 Firefox 的用户的权限执行任意代码。（CVE-2010-3169、CVE-2010-2762）

在 Firefox 中发现多个释放后使用和悬摆指针缺陷。包含恶意内容的网页可导致 Firefox 崩溃，或者可能以运行 Firefox 的用户的权限执行任意代码。（CVE-2010-2760、CVE-2010-2766、CVE-2010-2767、CVE-2010-3167、CVE-2010-3168）

在 Firefox 中发现多种缓冲区溢出缺陷。包含恶意内容的网页可导致 Firefox 崩溃，或者可能以运行 Firefox 的用户的权限执行任意代码。（CVE-2010-2765、CVE-2010-3166）

在 Firefox 中发现多种跨站脚本 (XSS) 缺陷。包含恶意内容的网页可造成 Firefox 以其他网站的权限运行 JavaScript 代码。
（CVE-2010-2768、CVE-2010-2769）

在 Firefox XMLHttpRequest 对象中发现一个缺陷。远程站点可利用此缺陷来收集与内部私有网络上的服务器有关的信息。(CVE-2010-2764)

注意：安装此更新后，如果使用 SSL DHE (Diffie-Hellman Ephemeral) 密钥交换的服务器的临时密钥太小，Firefox 将无法通过 HTTPS 连接到该服务器。连接到此类服务器会面临安全风险，因为临时密钥太小会使 SSL 连接容易遭受攻击。

如果遇到 Firefox 无法连接到其临时密钥太小的服务器的情况，可以尝试在 Firefox 中禁用所有 DHE 加密套件，以尝试使用采用不同密钥交换算法的加密套件进行连接：

1) 在 URL 栏中输入 about:config，然后按 Enter 键。2) 在“过滤器”搜索栏中，键入 ssl3.dhe 3) 在所有首选项显示后，双击 true 值将其更改为 false。4) 此更改将影响到所有 HTTPS 服务器的连接。

安装更新后，必须重新启动 Firefox 才能使更改生效。