CERT-FI haavoittuvuustiedote 093/2008

16.7.2008

Mozilla Firefox, SeaMonkey ja Thunderbird -ohjelmistoissa haavoittuvuuksia

Kohde:	- työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- etäkäyttö - ilman käyttäjän toimia	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen - luottamuksellisen tiedon hankkiminen - palvelunestohyökkäys	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys - ongelman rajoittaminen	Lisätietoja

Firefox- ja SeaMonkey -selaimista on löytynyt CSS-objektien käsittelyyn liittyvä haavoittuvuus. Haavoittuvuutta hyväksikäyttämällä hyökkääjän voi olla mahdollista kaataa haavoittuva selainohjelmisto ja suorittaa järjestelmässä omia komentojaan.

Haavoittuvuus voi koskea myös Mozilla Thunderbird -sähköpostiohjelmistoa, mikäli sähköpostin JavaScript-tuki on käytössä. Oletusarvoisesti sitä ei ole kytketty päälle.

Firefox-selaimista löydettiin myös toinen haavoittuvuus, joka liittyy komentoriviltä suoritettavien URL-osoitteiden käsittelyyn. Haavoittuvuutta hyväksikäyttämällä hyökkääjän voi olla mahdollista avata selaimeen useita selainsivuja, päästä käsiksi järjestelmän tietoihin tai suorittaa järjestelmässä omia komentojaan.

Firefox 3 -selaimen Mac OS X -käyttöjärjestelmäversion GIF-kuvatiedostojen renderöintiä tekevästä grafiikkakoodista on löydetty haavoittuvuus, jota hyväksikäyttämällä hyökkääjän voi olla mahdollista suorittaa järjestelmässä omia komentojaan. Haavoittuvuutta voidaan hyväksikäyttää tietyllä tavalla muokatun GIF-tiedoston avulla.

HAAVOITTUVAT OHJELMISTOT:

• Mozilla Firefox ennen versiota 3.0.1
• Mozilla Firefox ennen versiota 2.0.0.16
• Mozilla Thunderbird ennen versiota 2.0.0.16
• Mozilla SeaMonkey ennen versiota 1.1.11

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä haavoittuvat ohjelmistot seuraaviin korjattuihin versioihin:

• Mozilla Firefox 3.0.1 ja 2.0.0.16
• Mozilla Thunderbird 2.0.0.16
• Mozilla SeaMonkey 1.1.11

Päivityksen voi tehdä automaattisella päivitystoiminnolla tai asentamalla uudet ohjelmistoversiot osoitteista:

http://www.mozilla.com/

http://www.seamonkey-project.org/

LISÄTIETOA:

• http://www.mozilla.org/security/announce/2008/mfsa2008-34.html
• http://www.mozilla.org/security/announce/2008/mfsa2008-35.html
• http://www.mozilla.org/security/announce/2008/mfsa2008-36.html
• CVE-2008-2785
• CVE-2008-2933
• CVE-2008-2934
  

PÄIVITYSHISTORIA:

16.7.2008, kello 11.08: Julkaistu

18.7.2008, kello 09.40: Lisätty tietoa kolmannesta haavoittuvuudesta (MFSA 2008-36).

Sivua päivitetty 15.08.2008

Tulostusversio