CentOS 5 / 6:firefox (CESA-2012: 1350)

high Nessus 插件 ID 62484

简介

远程 CentOS 主机缺少一个或多个安全更新。

描述

更新后的 firefox 程序包修复了多个安全问题和一个缺陷,现在可用于 Red Hat Enterprise Linux 5 和 6。

Red Hat 安全响应团队将此更新评级为具有重大安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数,其给出了详细的严重性等级。

Mozilla Firefox 是一款开源网页浏览器。XULRunner 提供用于 Mozilla Firefox 的 XUL Runtime 环境。

在对畸形 Web 内容的处理中发现多个缺陷。包含恶意内容的网页可导致 Firefox 崩溃,或者可能以运行 Firefox 的用户的权限执行任意代码。(CVE-2012-3982、CVE-2012-3988、CVE-2012-3990、CVE-2012-3995、CVE-2012-4179、CVE-2012-4180、CVE-2012-4181、CVE-2012-4182、CVE-2012-4183、CVE-2012-4185、CVE-2012-4186、CVE-2012-4187、CVE-2012-4188)

Firefox 中的两个缺陷可允许恶意网站绕过预期限制,从而可能导致信息泄露或 Firefox 执行任意代码。请注意,信息泄露问题可能与其他缺陷结合导致执行任意代码。(CVE-2012-3986、CVE-2012-3991)

已发现 Firefox 的位置对象实现中有多个缺陷。恶意内容可能用于执行跨站脚本攻击、脚本注入或欺骗攻击。
(CVE-2012-1956、CVE-2012-3992、CVE-2012-3994)

在实现 Chrome 对象封装程序的方式中发现两个缺陷。恶意内容可能用于执行跨站脚本攻击,或导致 Firefox 执行任意代码。
(CVE-2012-3993、CVE-2012-4184)

有关这些缺陷的技术详细信息,请参阅 Firefox 10.0.8 ESR 的 Mozilla 安全公告。在本勘误表的“参考”部分可以找到 Mozilla 公告的链接。

Red Hat 在此感谢 Mozilla 项目报告这些问题。上游感谢这些问题的原始报告者 Christian Holler、Jesse Ruderman、Soroush Dalili、miaubiz、Abhishek Arya、Atte Kettunen、Johnny Stenback、Alice White、moz_bug_r_a4 和 Mariusz Mlynski。

此更新还修复以下缺陷:

* 在某些环境下,在 NFS 共享中存储个人 Firefox 配置文件 (~/.mozilla/)(例如当您的主目录在 NFS 共享上时)会导致 Firefox 错误运作,例如导航按钮无法正常工作以及书签无法保存。此更新新增了一个配置选项 storage.nfs_filesystem,可用于解决此问题。

如果遇到此问题:

1) 启动 Firefox。

2) 在 URL 栏中输入“about: config”(不含引号),然后按 Enter 键。

3) 如果出现提示“这可能使质量保证失效!”,单击“我保证会小心!”按钮。

4) 右键单击“首选项名称”列表。在打开的菜单中,选择“新建”->“布尔”。

5) 输入“storage.nfs_filesystem”(不带引号)作为首选项名称,然后单击“确定”按钮。

6) 为布尔值选择“true”,然后按“确定”按钮。
(BZ#809571、BZ#816234)

所有 Firefox 用户应升级这些更新后的程序包,其中包含已修正了这些问题的 Firefox 版本 10.0.8 ESR。安装更新后,必须重新启动 Firefox 才能使更改生效。

解决方案

更新受影响的 firefox 程序包。

另见

http://www.nessus.org/u?5fbc7f67

http://www.nessus.org/u?dcec6839

插件详情

严重性: High

ID: 62484

文件名: centos_RHSA-2012-1350.nasl

版本: 1.21

类型: local

代理: unix

发布时间: 2012/10/11

最近更新时间: 2021/1/4

支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Agentless Assessment, Nessus

风险信息

VPR

风险因素: High

分数: 8.9

CVSS v2

风险因素: High

基本分数: 9.3

时间分数: 8.1

矢量: CVSS2#AV:N/AC:M/Au:N/C:C/I:C/A:C

CVSS 分数来源: CVE-2012-3982

漏洞信息

CPE: p-cpe:/a:centos:centos:firefox, p-cpe:/a:centos:centos:xulrunner, p-cpe:/a:centos:centos:xulrunner-devel, cpe:/o:centos:centos:5, cpe:/o:centos:centos:6

必需的 KB 项: Host/local_checks_enabled, Host/CentOS/release, Host/CentOS/rpm-list

可利用: true

易利用性: Exploits are available

补丁发布日期: 2012/10/10

漏洞发布日期: 2012/8/29

可利用的方式

Metasploit (Firefox 5.0 - 15.0.1 __exposedProps__ XCS Code Execution)

参考资料信息

CVE: CVE-2012-1956, CVE-2012-3982, CVE-2012-3986, CVE-2012-3988, CVE-2012-3990, CVE-2012-3991, CVE-2012-3992, CVE-2012-3993, CVE-2012-3994, CVE-2012-3995, CVE-2012-4179, CVE-2012-4180, CVE-2012-4181, CVE-2012-4182, CVE-2012-4183, CVE-2012-4184, CVE-2012-4185, CVE-2012-4186, CVE-2012-4187, CVE-2012-4188

BID: 55260, 55856

RHSA: 2012:1350