CERT-FI haavoittuvuustiedote 088/2007

31.7.2007

Ohjelmistopäivitys korjaa Mozilla-tuotteiden haavoittuvuudet


Kohde:	- työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- paikallisesti - etäkäyttö	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen - käyttövaltuuksien laajentaminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Mozilla Foundation on julkaissut ohjelmistopäivityksen, joka korjaa Mozilla-selainperheen URI-linkkien käsittelyssä Windows-ympäristössä löydetyn haavoittuvuuden sekä tietyissä selaimen laajennusosien käytössä havaitun käyttövaltuuksien nostoon liittyvän haavoittuvuuden.

Ensimmäistä haavoittuvuutta hyväksikäyttämällä hyökkääjä voi suorittaa komentoja kohdetietojärjestelmässä houkuteltuaan hänet muokkaamalleen www-sivulle. Haavoittuvuus johtuu selainten tekemästä syötteen puutteellisesta tarkastuksesta niiden välittäessä komentoja eteenpäin rekisteröidyille apuohjelmille (esim. mailto:-, nntp:- ja telnet:-alkuiset linkit). Hyökkääjä voi huijata käyttöjärjestelmän käsittelemään linkin muulla kuin kyseisen linkkityypin tavallisesti käsittelevällä ohjelmalla muokkaamalla linkkiä tietyllä tavalla. Windows-järjestelmä ei ole haavoittuva, jos Internet Explorer 7 -selainta ei ole asennettu. Mozilla Foundation on luokitellut tämän haavoittuvuuden "critical" - luokkaan.

Toista haavoittuvuutta hyväksikäyttämällä hyökkääjän voi olla mahdollista nostaa käyttöoikeuksia tiettyjen selaimen laajennusosien välityksellä. Mozilla Foundation on luokitellut tämän haavoittuvuuden "moderate"-luokkaan.

HAAVOITTUVAT OHJELMISTOT:

Haavoittuvia ovat seuraavien Mozilla-tuotteiden Windows-käyttöjärjestelmässä ajettavat versiot:

Mozilla Firefox 2.0.0.5 ja aiemmat versiot
Netscape Navigator 9

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä haavoittuva tietojärjestelmä ohjelmistoversiolla 2.0.0.6, joka on ladattavissa osoitteesta:

http://www.mozilla.com/

LISÄTIETOA:

PÄIVITYSHISTORIA:

27.7.2007, kello 9.30: Julkaistu

31.7.2007, kello 12.00: Tieto uudesta ohjelmistoversiosta lisätty

Sivua päivitetty 01.08.2007

Tulostusversio