SuSE 10 安全更新：Mozilla Firefox（ZYPP 修补程序编号 8348）

medium Nessus 插件 ID 62780

语言：

简介

远程 SuSE 10 主机缺少与安全有关的修补程序。

描述

MozillaFirefox 已更新到 10.0.10ESR 安全版本。

现已修复了以下问题：

- Mozilla 修复了多个与 Location 对象相关的问题，以增强整体安全性。
当前修复的每个问题详细信息如下。
(MFSA 2012-90)

Thunderbird 只通过加载 Web 内容的 RSS 源和扩展受到 window.location 问题的影响。

- 安全研究人员 Mariusz Mlynski 报告，用户内容可能利用 valueOf 方法遮蔽 window.location 的实际值，利用此漏洞并结合某些插件可对用户执行跨站脚本 (XSS) 攻击。(CVE-2012-4194)

- Mozilla 安全研究人员 moz_bug_r_a4 发现，可强制 window.location 中的 CheckURL 函数返回错误的调用文档和主体，这可能导致跨站脚本 (XSS) 攻击。如果攻击者可利用与页面内容交互的附加组件，还可能导致任意代码执行。(CVE-2012-4195)

- INRIA Paris 的 PROSECCO 研究团队的安全研究人员 Antoine Delignat-Lavaud报告，能够通过原型使用属性注入绕过 Location 对象上的安全封装程序保护，从而导致 Location 对象的跨源读取。(CVE-2012-4196)