Debian DSA-3315-1：chromium 浏览器 - 安全更新

critical Nessus 插件 ID 84992

语言：

简介

远程 Debian 主机缺少与安全相关的更新。

描述

在 chromium Web 浏览器中发现多个漏洞。

- CVE-2015-1266 可绕过 chrome://gpu 等某些 URL 的预期访问限制。

- CVE-2015-1267 发现可用于绕过同源策略的方法。

- CVE-2015-1268 Mariusz Mlynski 也发现了用于绕过同源策略的方法。

- CVE-2015-1269 Mike Rudy 发现，主机名未在 HTTP Strict Transport Policy 和 HTTP Public Key Pinning 功能中得到正确对比，从而可允许绕过这些访问限制。

- CVE-2015-1270 Atte Kettunen 发现了 ICU 库中的未初始化内存读取。

- CVE-2015-1271 cloudfuzzer 发现了 pdfium 库中的一个缓冲区溢出。

- CVE-2015-1272 Chamal de Silva 发现了 GPU 进程实现中的争用条件。

- CVE-2015-1273 makosoft 发现了 chromium 中嵌入的 pdfium 库使用的 openjpeg 中的一个缓冲区溢出。

- CVE-2015-1274 andrewm.bpi 发现，auto-open 列表允许在下载某些文件类型之后立即执行这些类型。

- CVE-2015-1276 Colin Payne 发现了 IndexedDB 实现中的一个释放后使用问题。

- CVE-2015-1277 SkyLined 发现了 chromium 的可访问性实现中的一个释放后使用问题。

- CVE-2015-1278 Chamal de Silva 发现了使用 PDF 文档来欺骗 URL 的方法。

- CVE-2015-1279 mlafon 发现了 pdfium 库中的一个缓冲区溢出。

- CVE-2015-1280 cloudfuzzer 发现了 SKIA 库中的一个内存损坏问题。

- CVE-2015-1281 Masato Knugawa 发现了用于绕过内容安全策略的方法。

- CVE-2015-1282 Chamal de Silva 发现了 pdfium 库中的多种释放后使用问题。

- CVE-2015-1283 Huzaifa Sidhpurwala 发现了 expat 库中的一个缓冲区溢出。

- CVE-2015-1284 Atte Kettunen 发现，页面框架的最大数量未得到正确的检查。

- CVE-2015-1285 gazheyes 在通常用于帮助防止某些类型的跨站脚本问题的 XSS 审计器中发现一个信息泄漏。

- CVE-2015-1286 在 v8 JavaScript 库的接口中发现一个跨站脚本问题。

- CVE-2015-1287 filedescriptor 发现了用于绕过同源策略的方法。

- CVE-2015-1288 Mike Ruddy 发现，仍可通过普通 HTTP 下载拼写检查字典（与 CVE-2015-1263 相关）。

- CVE-2015-1289 在内部审计期间，chrome 44 开发团队发现并修复了各种问题。

除了上述问题，Google 默认在此版本中禁用了 hotword 扩展，如果启用，可不经用户干预就下载文件。