检测

Ubuntu 12.04 LTS / 12.10 / 13.10：firefox 漏洞 (USN-2102-1)

critical Nessus 插件 ID 72425

语言：

简介

远程 Ubuntu 主机缺少与安全相关的修补程序。

描述

Christian Holler、Terrence Cole、Jesse Ruderman、Gary Kwong、Eric Rescorla、Jonathan Kew、Dan Gohman、Ryan VanderMeulen、Carsten Book、Andrew Sutherland、Byron Campen、Nicholas Nethercote、Paul Adenot、David Baron、Julian Seward 和 Sotaro Ikeda 发现 Firefox 中存在多个内存安全问题。如果用户受到诱骗打开特别构建的网站，攻击者可能利用这些漏洞，通过应用程序崩溃造成拒绝服务，或者以调用 Firefox 的用户的权限执行任意代码。
（CVE-2014-1477、CVE-2014-1478）

Cody Crews 发现了绕过仅系统封装程序的方法。攻击者可能利用此漏洞窃据机密数据或以调用 Firefox 的用户的权限执行代码。
(CVE-2014-1479)

Jordi Chancel 发现处理按钮操作之前，下载对话框未实现安全超时。攻击者可能利用此缺陷执行点击劫持攻击。
(CVE-2014-1480)

Fredrik Lönnqvist 在 Firefox 中发现释放后使用。攻击者可能利用此漏洞通过应用程序崩溃造成拒绝服务，或以调用 Firefox 的用户的权限执行任意代码。(CVE-2014-1482)

Jordan Milne 在跨源 iframe 中使用 document.elementFromPoint 和 document.caretPositionFromPoint 时发现了一个时序缺陷。攻击者可能利用此缺陷窃取机密信息。(CVE-2014-1483)

Frederik Braun 发现 Firefox 中的 CSP 实现不按照规范处理 XSLT 样式表，因此在某些情况下可能导致意外执行脚本 (CVE-2014-1485)

Arthur Gerkis 在 Firefox 中发现释放后使用。攻击者可能利用此漏洞通过应用程序崩溃造成拒绝服务，或以调用 Firefox 的用户的权限执行任意代码。(CVE-2014-1486)

Masato Kinugawa 在 Web 工作线程错误消息中发现跨源信息泄漏。攻击者可能利用此漏洞窃取机密信息。(CVE-2014-1487)

Yazan Tommalieh 发现在某些情况下，网页可激活默认 Firefox 起始页 (about:home) 上的按钮。攻击者可能利用此漏洞，通过触发会话恢复造成数据丢失。(CVE-2014-1489)

Soeren Balko 发现在某些情况下终止运行 asm.js 代码的 Web 工作线程时，Firefox 中发生崩溃。攻击者可能利用该漏洞，以调用 Firefox 的用户的权限执行任意代码。(CVE-2014-1488)

发现 NSS 中的票证处理存在多种问题。攻击者可能利用这些问题造成拒绝服务，或者绕过加密保护机制。（CVE-2014-1490、CVE-2014-1491）

Boris Zbarsky 发现，在某些情况下，可绕过窗口对象的安全限制。(CVE-2014-1481)。

解决方案

更新受影响的 firefox 程序包。

另见

https://usn.ubuntu.com/2102-1/

插件详情

严重性: Critical

ID: 72425

文件名: ubuntu_USN-2102-1.nasl

版本: 1.12

类型: local

代理: unix

发布时间: 2014/2/11

最近更新时间: 2021/1/19

支持的传感器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus

风险信息

VPR

风险因素: Medium

分数: 6.7

CVSS v2

风险因素: Critical

基本分数: 10

时间分数: 8.7

矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C

漏洞信息

CPE: p-cpe:/a:canonical:ubuntu_linux:firefox, cpe:/o:canonical:ubuntu_linux:12.04:-:lts, cpe:/o:canonical:ubuntu_linux:12.10, cpe:/o:canonical:ubuntu_linux:13.10

必需的 KB 项: Host/cpu, Host/Ubuntu, Host/Ubuntu/release, Host/Debian/dpkg-l

易利用性: No known exploits are available

补丁发布日期: 2014/2/10

漏洞发布日期: 2014/2/6

参考资料信息

CVE: CVE-2014-1477, CVE-2014-1478, CVE-2014-1479, CVE-2014-1480, CVE-2014-1481, CVE-2014-1482, CVE-2014-1483, CVE-2014-1485, CVE-2014-1486, CVE-2014-1487, CVE-2014-1488, CVE-2014-1489, CVE-2014-1490, CVE-2014-1491

BID: 65316, 65317, 65320, 65321, 65322, 65324, 65326, 65328, 65329, 65330, 65331, 65332, 65334, 65335

USN: 2102-1