Mozilla Firefox瀏覽器現多個遠程安全性漏洞

發布日期：2007-10-18
更新日期：2007-10-22

受影響系統：
Mozilla Firefox < 2.0.0.8
Mozilla Thunderbird < 2.0.0.8
Mozilla SeaMonkey < 1.1.5
不受影響系統：
Mozilla Firefox 2.0.0.8
Mozilla Thunderbird 2.0.0.8
Mozilla SeaMonkey 1.1.5
描述：
--------------------------------------------------------------------------------
BUGTRAQ  ID: 26132
CVE(CAN) ID: CVE-2007-5338,CVE-2007-5337,CVE-2007-5334,CVE-2007-5340,CVE-2007-5339

Mozilla Firefox是開放源碼的WEB瀏覽器。

Firefox處理某些畸形Web內容的方式存在幾個漏洞，包含有惡意內容的網頁可能導致Firefox崩潰或以運行Firefox使用者的許可權執行任意代碼。

使用XUL標記語言所編寫的網頁可能會隱藏視窗的標題列，攻擊者可以利用這個特性建立誘騙網頁執行釣魚攻擊。

在支援gnome-vfs的Linux機器上，Firefox可以使用smb:和sftp: URI主題。如果攻擊者能夠將攻擊網頁儲存在目標伺服器上的手動可訪問位置如/tmp）並誘騙受害使用者載入該網頁，就可以讀取該伺服器上已知位置的任意屬於受害使用者的檔案。

攻擊者可以使用Script對象修改XPCNativeWrappers，導致之後瀏覽器chrome的訪問如右擊開啟操作功能表）允許以使用者權限執行攻擊者所提供的javascript。

<*來源：L. David Baron
Boris Zbarsky
Georgi Guninski guninski@guninski.com）
Paul Nickerson
Olli Pettay
Jesse Ruderman jruderman@gmail.com）
Vladimir Sukhoy
moz_bug_r_a4 moz_bug_r_a4@yahoo.com）

連結：http://secunia.com/advisories/27311/
http://www.mozilla.org/security/announce/2007/mfsa2007-35.html
http://www.mozilla.org/security/announce/2007/mfsa2007-34.html
http://www.mozilla.org/security/announce/2007/mfsa2007-33.html
http://www.mozilla.org/security/announce/2007/mfsa2007-29.html
https://bugzilla.mozilla.org/show_bug.cgi?format=multiple&id=381146
https://bugzilla.mozilla.org/show_bug.cgi?format=multiple&id=391043
https://www.redhat.com/support/errata/RHSA-2007-0980.html
https://www.redhat.com/support/errata/RHSA-2007-0981.html
https://www.redhat.com/support/errata/RHSA-2007-0979.html
*>

建議：
--------------------------------------------------------------------------------
廠商補丁：

Mozilla
-------
目前廠商已經發布了升級補丁以修複這個安全問題，請到廠商的首頁下載：

http://www.mozilla.com/en-US/firefox/
http://www.mozilla.org/projects/seamonkey/
http://www.mozilla.com/en-US/thunderbird/

RedHat
------
RedHat已經為此發布了一個資訊安全諮詢RHSA-2007:0980-01）以及相應補丁:
RHSA-2007:0980-01：Critical: seamonkey security update
連結：https://www.redhat.com/support/errata/RHSA-2007-0980.html

綠盟授權bkjia.com 獨家報道，未經書面許可不得轉載！】

相關文章】

• 瀏覽更多漏洞補丁資訊