Miembros de
Boletines de Vulnerabilidades |
Múltiples vulnerabilidades en Mozilla Firefox, Thunderbird y SeaMonkey |
|
Clasificación de la vulnerabilidad |
|
| Propiedad | Valor |
| Nivel de Confianza | Oficial |
| Impacto | Aumento de la visibilidad |
| Dificultad | Avanzado |
| Requerimientos del atacante | Acceso remoto sin cuenta a un servicio estandar |
Información sobre el sistema |
|
| Propiedad | Valor |
| Fabricante afectado | GNU/Linux |
| Software afectado |
Mozilla Firefox < 3.0.6 Mozilla Thunderbird < 2.0.0.21 Mozilla SeaMonkey < 1.1.15 |
Descripción |
|
|
Se han descubierto múltiples vulnerabilidades en Mozilla Firefox 3, Mozilla Thunderbird 2 y Mozila SeaMonkey 1. Las vulnerabilidades son descritas a continuación: - CVE-2009-0352: La vulnerabilidad reside en un error en la función "nsViewManager::Composite". Un atacante remoto podría causar una denegación de servicio o ejecutar código arbitrario mediante métodos relacionados con el motor gráfico y la destrucción de objetos gráficos. - CVE-2009-0353: Un atacante remoto podría causar una denegación de servicio o ejecutar código arbitrario mediante métodos relacionados con el motor de JavaScript. - CVE-2009-0354: Se ha descubierto una vulnerabilidad de tipo Cross-Site Scripting en Mozilla Firefox 3. La vulnerabilidad reside en un error en "js/src/jsobj.cpp". Un atacante remoto podría saltar la política de "Mismo origen" y acceder a las propiedades de ventanas arbitrarias mediante métodos relacionados con chrome XBL y la función "window.eval". - CVE-2009-0355: Se ha descubierto una vulnerabilidad en Mozilla Firefox 3. La vulnerabilidad reside en un error en "components/sessionstore/src/nsSessionStore.js" durante la restauración de pestañas. Un atacante remoto podría acceder a ficheros arbitrarios mediante el elemento "INPUT" especialmente diseñado. - CVE-2009-0356: Se ha descubierto una vulnerabilidad en Mozilla Firefox 3 y Mozilla SeaMonkey 1. Un atacante remoto asistido por el usuario podría saltar la política de seguridad de "mismo origen" y ejecutar código arbitrario mediante URIs "jar:file://" especialmente diseñadas. - CVE-2009-0357: Se ha descubierto una vulnerabilidad en Mozilla Firefox 3 y Mozilla SeaMonkey 1. La vulnerabilidad reside en un error en la restricción de acceso a las páginas web a las cabeceras "Set-COokie" y "Set-Cookie2". Un atacante remoto podría obtener información sensible desde cookies mediante llamadas XMLHttpRequest, relacionadas con el mecanismo de protección "HTTPOnly". - CVE-2009-0358: Se ha descubierto una vulnerabilidad Mozilla Firefox 3. La vulnerabilidad reside en un error en las drectivas de Cache-Control "no-store" y "no-cache". Un atacante local podría obtener información sensible mediante el uso del botón "atrás" o el historial. |
|
Solución |
|
|
Actualización de software Mozilla Firefox 3.0.6 http://www.mozilla.org/products/firefox/ Thunderbird 2.0.0.21 http://www.mozilla.org/products/thunderbird/ SeaMonkey 1.1.15 http://www.seamonkey-project.org/ Red Hat (RHSA-2009:0256-6) RHEL Desktop Workstation (v. 5 cliente) Red Hat Desktop (v. 4) Red Hat Enterprise Linux (v. 5 servidor) Red Hat Enterprise Linux AS (v. 4) Red Hat Enterprise Linux Desktop (v. 5 cliente) Red Hat Enterprise Linux ES (v. 4) Red Hat Enterprise Linux WS (v. 4) https://rhn.redhat.com/ Red Hat (RHSA-2009:0257-4) Red Hat Desktop (v. 3) Red Hat Desktop (v. 4) Red Hat Enterprise Linux AS (v. 2.1) Red Hat Enterprise Linux AS (v. 3) Red Hat Enterprise Linux AS (v. 4) Red Hat Enterprise Linux ES (v. 2.1) Red Hat Enterprise Linux ES (v. 3) Red Hat Enterprise Linux ES (v. 4) Red Hat Enterprise Linux WS (v. 2.1) Red Hat Enterprise Linux WS (v. 3) Red Hat Enterprise Linux WS (v. 4) Red Hat Linux Advanced Workstation 2.1 para the Itanium Processor https://rhn.redhat.com/ Suse Linux Las actualizaciones pueden descargarse mediante YAST o del servidor FTP oficial de Suse Linux. Red Hat (RHSA-2009:0258-1) RHEL Optional Productivity Applications (v. 5 servidor) Red Hat Desktop (v. 4) Red Hat Enterprise Linux AS (v. 4) Red Hat Enterprise Linux Desktop (v. 5 cliente) Red Hat Enterprise Linux ES (v. 4) Red Hat Enterprise Linux WS (v. 4) https://rhn.redhat.com/ Debian (DSA-1830-1) Debian Linux 5.0 Source http://security.debian.org/pool/updates/main/i/icedove/icedove_2.0.0.22-0lenny1.dsc http://security.debian.org/pool/updates/main/i/icedove/icedove_2.0.0.22-0lenny1.diff.gz http://security.debian.org/pool/updates/main/i/icedove/icedove_2.0.0.22.orig.tar.gz alpha (DEC Alpha) http://security.debian.org/pool/updates/main/i/icedove/icedove_2.0.0.22-0lenny1_alpha.deb http://security.debian.org/pool/updates/main/i/icedove/icedove-dbg_2.0.0.22-0lenny1_alpha.deb http://security.debian.org/pool/updates/main/i/icedove/icedove-gnome-support_2.0.0.22-0lenny1_alpha.deb http://security.debian.org/pool/updates/main/i/icedove/icedove-dev_2.0.0.22-0lenny1_alpha.deb amd64 (AMD x86_64 (AMD64)) http://security.debian.org/pool/updates/main/i/icedove/icedove-dbg_2.0.0.22-0lenny1_amd64.deb http://security.debian.org/pool/updates/main/i/icedove/icedove_2.0.0.22-0lenny1_amd64.deb http://security.debian.org/pool/updates/main/i/icedove/icedove-gnome-support_2.0.0.22-0lenny1_amd64.deb http://security.debian.org/pool/updates/main/i/icedove/icedove-dev_2.0.0.22-0lenny1_amd64.deb arm (ARM) http://security.debian.org/pool/updates/main/i/icedove/icedove_2.0.0.22-0lenny1_arm.deb http://security.debian.org/pool/updates/main/i/icedove/icedove-dbg_2.0.0.22-0lenny1_arm.deb http://security.debian.org/pool/updates/main/i/icedove/icedove-gnome-support_2.0.0.22-0lenny1_arm.deb http://security.debian.org/pool/updates/main/i/icedove/icedove-dev_2.0.0.22-0lenny1_arm.deb hppa (HP PA RISC) http://security.debian.org/pool/updates/main/i/icedove/icedove_2.0.0.22-0lenny1_hppa.deb http://security.debian.org/pool/updates/main/i/icedove/icedove-dbg_2.0.0.22-0lenny1_hppa.deb http://security.debian.org/pool/updates/main/i/icedove/icedove-gnome-support_2.0.0.22-0lenny1_hppa.deb http://security.debian.org/pool/updates/main/i/icedove/icedove-dev_2.0.0.22-0lenny1_hppa.deb i386 (Intel ia32) http://security.debian.org/pool/updates/main/i/icedove/icedove-dev_2.0.0.22-0lenny1_i386.deb http://security.debian.org/pool/updates/main/i/icedove/icedove_2.0.0.22-0lenny1_i386.deb http://security.debian.org/pool/updates/main/i/icedove/icedove-gnome-support_2.0.0.22-0lenny1_i386.deb http://security.debian.org/pool/updates/main/i/icedove/icedove-dbg_2.0.0.22-0lenny1_i386.deb ia64 (Intel ia64) http://security.debian.org/pool/updates/main/i/icedove/icedove_2.0.0.22-0lenny1_ia64.deb http://security.debian.org/pool/updates/main/i/icedove/icedove-gnome-support_2.0.0.22-0lenny1_ia64.deb http://security.debian.org/pool/updates/main/i/icedove/icedove-dev_2.0.0.22-0lenny1_ia64.deb http://security.debian.org/pool/updates/main/i/icedove/icedove-dbg_2.0.0.22-0lenny1_ia64.deb mips (MIPS (Big Endian)) http://security.debian.org/pool/updates/main/i/icedove/icedove-dbg_2.0.0.22-0lenny1_mips.deb http://security.debian.org/pool/updates/main/i/icedove/icedove-gnome-support_2.0.0.22-0lenny1_mips.deb http://security.debian.org/pool/updates/main/i/icedove/icedove_2.0.0.22-0lenny1_mips.deb http://security.debian.org/pool/updates/main/i/icedove/icedove-dev_2.0.0.22-0lenny1_mips.deb mipsel (MIPS (Little Endian)) http://security.debian.org/pool/updates/main/i/icedove/icedove-gnome-support_2.0.0.22-0lenny1_mipsel.deb http://security.debian.org/pool/updates/main/i/icedove/icedove-dev_2.0.0.22-0lenny1_mipsel.deb http://security.debian.org/pool/updates/main/i/icedove/icedove_2.0.0.22-0lenny1_mipsel.deb http://security.debian.org/pool/updates/main/i/icedove/icedove-dbg_2.0.0.22-0lenny1_mipsel.deb powerpc (PowerPC) http://security.debian.org/pool/updates/main/i/icedove/icedove-dev_2.0.0.22-0lenny1_powerpc.deb http://security.debian.org/pool/updates/main/i/icedove/icedove-gnome-support_2.0.0.22-0lenny1_powerpc.deb http://security.debian.org/pool/updates/main/i/icedove/icedove-dbg_2.0.0.22-0lenny1_powerpc.deb http://security.debian.org/pool/updates/main/i/icedove/icedove_2.0.0.22-0lenny1_powerpc.deb s390 (IBM S/390) http://security.debian.org/pool/updates/main/i/icedove/icedove_2.0.0.22-0lenny1_s390.deb http://security.debian.org/pool/updates/main/i/icedove/icedove-dbg_2.0.0.22-0lenny1_s390.deb http://security.debian.org/pool/updates/main/i/icedove/icedove-dev_2.0.0.22-0lenny1_s390.deb http://security.debian.org/pool/updates/main/i/icedove/icedove-gnome-support_2.0.0.22-0lenny1_s390.deb sparc (Sun SPARC/UltraSPARC) http://security.debian.org/pool/updates/main/i/icedove/icedove-dbg_2.0.0.22-0lenny1_sparc.deb http://security.debian.org/pool/updates/main/i/icedove/icedove-gnome-support_2.0.0.22-0lenny1_sparc.deb http://security.debian.org/pool/updates/main/i/icedove/icedove_2.0.0.22-0lenny1_sparc.deb http://security.debian.org/pool/updates/main/i/icedove/icedove-dev_2.0.0.22-0lenny1_sparc.deb |
|
Identificadores estándar |
|
| Propiedad | Valor |
| CVE |
CVE-2009-0352 CVE-2009-0353 CVE-2009-0354 CVE-2009-0355 CVE-2009-0356 CVE-2009-0357 CVE-2009-0358 |
| BID | 33598 |
Recursos adicionales |
|
|
Mozilla Foundation Security Advisory (2009-01) http://www.mozilla.org/security/announce/2009/mfsa2009-01.html Mozilla Foundation Security Advisory (2009-02) http://www.mozilla.org/security/announce/2009/mfsa2009-02.html Mozilla Foundation Security Advisory (2009-03) http://www.mozilla.org/security/announce/2009/mfsa2009-03.html Mozilla Foundation Security Advisory (2009-04) http://www.mozilla.org/security/announce/2009/mfsa2009-04.html Mozilla Foundation Security Advisory (2009-05) http://www.mozilla.org/security/announce/2009/mfsa2009-05.html Mozilla Foundation Security Advisory (2009-06) http://www.mozilla.org/security/announce/2009/mfsa2009-06.html Red Hat Security Advisory (RHSA-2009:0256-6) https://rhn.redhat.com/errata/RHSA-2009-0256.html Red Hat Security Advisory (RHSA-2009:0257-4) https://rhn.redhat.com/errata/RHSA-2009-0257.html SUSE Security Advisory (SUSE-SA:2009:009) http://www.novell.com/linux/security/advisories/2009_09_firefox.html Red Hat Security Advisory (RHSA-2009:0258-1) https://rhn.redhat.com/errata/RHSA-2009-0258.html SUSE Security Advisory (SUSE-SA:2009:023) http://www.novell.com/linux/security/advisories/2009_23_firefox2.html Debian Security Advisory (DSA-1830-1) http://lists.debian.org/debian-security-announce/2009/msg00143.html |
|
Histórico de versiones |
||
| Versión | Comentario | Fecha |
| 1.0 | Aviso emitido | 2009-02-05 |
| 1.1 | Aviso emitido por Suse (SUSE-SA:2009:009) | 2009-02-26 |
| 1.2 | Aviso emitido por Red Hat (RHSA-2009:0258-1) | 2009-03-25 |
| 1.3 | Aviso emitido por Suse (SUSE-SA:2009:023) | 2009-04-21 |
| 1.4 | Aviso emitido por Debian (DSA-1830-1) | 2009-07-13 |
