CERT-FI haavoittuvuustiedote 093/2004

30.12.2004

Haavoittuvuus Mozilla selaimessa

Kohde:	- työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- etäkäyttö	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Mozilla on suosittu eri käyttöjärjestelmissä toimiva ilmainen selainohjelmisto. Mozilla selaimesta on löydetty puskuriylivuotohaavoittuvuus.

NNTP (Network News Transport Protocol) on keskusteluryhmien (news) käyttöön tarkoitettu protokolla. Löydetty haavoittuvuus on selaimen NNTP-protokollaa käsittelevässä ohjelmakoodissa. Haavoittuvuutta voidaan hyväksikäyttää esimerkiksi www-sivun kautta, josta on viittaus tietyllä tapaa muokattuun news:// -osoitteeseen. Haavoittuvuutta hyväksikäyttämällä hyökkääjän voi olla mahdollista suoritta kohdejärjestelmässä omia komentojaan.

Haavoittuvuuteen on julkaistu haavoittuvuuden hyödyntämisen toteen näyttävä PoC (Proof of Concept) -koodi.

HAAVOITTUVAT OHJELMISTOT:

• Mozilla selainohjelmiston versio 1.7.3 ja tätä aikaisemmat versiot.

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä haavoittuva Mozilla selain versioon 1.7.5:

http://www.mozilla.org/releases/mozilla1.7.5/

LISÄTIETOA:

http://www.isec.pl/vulnerabilities/isec-0020-mozilla.txt

PÄIVITYSHISTORIA:

30.12.2004: Julkaistu

Sivua päivitetty 19.07.2007

Tulostusversio