CERT-FI haavoittuvuustiedote 078/2002

4.11.2002

Useita haavoittuvuuksia Mozilla-selainohjelmassa

Kohde:	- työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- etäkäyttö	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen - luottamuksellisen tiedon hankkiminen - palvelunestohyökkäys	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Mozilla on www-sivustojen selaukseen käytetty selainohjelma ja se on laajasti käytössä eri tietojärjestelmäympäristöissä. Mozilla-selainohjelmasta on löydetty kuusi haavoittuvuutta, jotka ovat:

• XMLSerializer-sovellus, joka toimitetaan Mozilla-asennuspaketin mukana, sisältää haavoittuvuuden, jota hyväksikäyttämällä hyökkääjän on mahdollista päästä selaamaan toisen domainin tietoja. Lisätietoja tästä haavoittuvuudesta saa osoitteesta: http://online.securityfocus.com/bid/5766

• Haavoittuvuus, joka liittyy space-näppäimen määrityksiin. Haavoittuvuutta hyväksikäyttämällä hyökkääjän voi olla mahdollista asentaa client-koneelle mm. XPI-sovelluksia. Lisätietoja haavoittuvuudesta saa osoitteesta: http://online.securityfocus.com/bid/5762

• Haavoittuvuus muistin käsittelyssä, jota hyväksikäyttämällä hyökkääjän on mahdollista kohdistaa kohdetietojärjestelmään palvelunestohyökkäys. Lisätietoja haavoittuvuudesta saa osoitteesta: http://online.securityfocus.com/bid/5759

• Haavoittuvuus liittyen Mozilla-selainohjelmiston tapaan ilmoittaa selaajalle siirtymisestä turvatulta sivustolta normaaleille sivustoille. Lisätietoa haavoittuvuudesta saa osoitteesta: http://online.securityfocus.com/bid/5757

• Haavoittuvuus liittyen Mozilla-selainohjelmasta tapahtuvaan tietovuotoon. haavoittuvuutta hyväksikäyttämällä hyökkääjän voi olla mahdollista saada tietoonsa tietoja selainohjelman selaushistoriasta. Lisätietoja haavoittuvuudesta saa osoitteesta: http://online.securityfocus.com/bid/5694

• Haavoittuvuus liittyen tietyntyyppisten GIF-kuvatiedostojen käsittelyyn. Haavoittuvuutta hyväksikäyttämällä hyökkääjän voi olla mahdollista kohdistaa kohdetietojärjestelmään palvelunestohyökkäys tai jopa suorittaa kohdetietojärjestelmässä omia komentojaan. Lisätietoja haavoittuvuudesta saa osoitteesta: http://online.securityfocus.com/bid/5665

HAAVOITTUVAT OHJELMISTOT:

Tiedot haavoittuvista tietojärjestelmistä saa osoitteista:

http://online.securityfocus.com/bid/5766
http://online.securityfocus.com/bid/5762
http://online.securityfocus.com/bid/5759
http://online.securityfocus.com/bid/5757
http://online.securityfocus.com/bid/5694
http://online.securityfocus.com/bid/5665

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä haavoittuva tietojärjestelmä korjaustiedostolla. Korjaustiedostot ovat saatavilla ylläolevista osoitteista sekä osoitteesta:

http://www.mozilla.org

LISÄTIETOA:

http://online.securityfocus.com/bid

http://www.mozilla.org

PÄIVITYSHISTORIA:

04.11.2002: Julkaistu

Sivua päivitetty 20.08.2007

Tulostusversio