CERT-FI haavoittuvuustiedote 062/2006

20.12.2006

Haavoittuvuuksia Mozilla-ohjelmistoissa

Kohde:	- työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- ilman kirjautumista - etäkäyttö	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen - luottamuksellisen tiedon hankkiminen	Lisätietoja

Firefox -selainohjelmistosta ja Thunderbird -sähköpostiohjelmistosta on löydetty useita vakavia haavoittuvuuksia, joita hyväksikäyttämällä hyökkääjän voi olla mahdollista suorittaa kohdetietojärjestelmässä omia komentojaan.

Haavoittuvuuksista ensimmäinen on RSS-jakelujen esikatselussa tapahtuva tietovuoto, joka saattaa paljastaa käyttäjän selailutottumuksia.

Toinen haavoittuvuus liittyy sivukommenttien käsittelyssä tapahtuvaan muistin korruptoitumiseen. Haavoittuvuutta hyväksikäyttämällä hyökkääjän voi olla mahdollista suorittaa kohdetietojärjestelmässä omia komentojaan.

Kolmas haavoittuvuus liittyy kuvaelementtien käsittelyssä tapahtuvaan Cross-Site Scripting tyyppiseen javakoodin injektoimiseen. Haavoittuvuutta hyväksikäyttämällä hyökkääjän voi olla mahdollista suorittaa kohdetietojärjestelmässä omia komentojaan.

Neljäs haavoittuvuus liittyy LiveConnectissa tapahtuvaan muistin korruptoitumiseen. Haavoittuvuutta hyväksikäyttämällä hyökkääjän voi olla mahdollista suorittaa kohdetietojärjestelmässä omia komentojaan.

Viides haavoittuvuus liittyy Mozilla-ohjelmistojen tapaan käsitellä javascriptin watch()-funktiota. Haavoittuvuutta hyväksikäyttämällä hyökkääjän voi olla mahdollista suorittaa kohdetietojärjestelmässä omia komentojaan.

Kuudes haavoittuvuus liittyy tyylisivujen käsittelyssä tapahtuvaan puskurin ylivuotoon. Haavoittuvuutta hyväksikäyttämällä hyökkääjän voi olla mahdollista suorittaa kohdetietojärjestelmässä omia komentojaan.

Uudessa päivitysversiossa on myös korjattu useita ohjelmiston kaatumiseen johtaneita virheitä, joita hyväksikäyttämällä hyökkääjän voi olla mahdollista suorittaa kohdetietojärjestelmässä omia komentojaan.

Lisäksi Mozilla Tunderbirdissä on korjattu sähköpostien otsikkotietojen käsittelyssä tapahtuva puskurin ylivuoto. Haavoittuvuutta hyväksikäyttämällä hyökkääjän voi olla mahdollista suorittaa kohdetietojärjestelmässä omia komentojaan.

HAAVOITTUVAT OHJELMISTOT:

• Mozilla Firefoxin versiota 1.5.0.9 aiemmat versiot
• Mozilla Firefoxin versiota 2.0.0.1 aiemmat versiot
• Mozilla Thunderbirdin versiota 1.5.0.9 aiemmat versiot

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä haavoittuvat ohjelmistot valmistajan ohjeiden mukaisesti:

http://www.mozilla.com/firefox/
http://www.mozilla.com/thunderbird/

LISÄTIETOA:

• http://www.mozilla.org/projects/security/known-vulnerabilities.html
• CVE-2007-0008 CVE-2007-0009 CVE-2007-0775
• CVE-2007-0776 CVE-2007-0777 CVE-2007-0994
• CVE-2007-1092
  

PÄIVITYSHISTORIA:

20.12.2006: Julkaistu

Sivua päivitetty 11.03.2007

Tulostusversio