Debian DSA-1922-1：xulrunner - 複数の脆弱性

critical Nessus プラグイン ID 44787

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

iceweasel Web ブラウザなどの XUL アプリケーション用 Runtime 環境である、 XULRunner で、複数のリモート脆弱性が発見されています。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2009-3380 Vladimir Vukicevic 氏、Jesse Ruderman 氏、Martijn Wargers 氏、Daniel Banchero 氏、David Keeler 氏、および Boris Zbarsky 氏は、レイアウトエンジンのクラッシュを報告しました。これにより、任意のコードの実行が引き起こされる可能性があります。

- CVE-2009-3382 Carsten Book 氏は、レイアウトエンジンのクラッシュを報告しました。これにより、任意のコードが実行される可能性があります。

- CVE-2009-3376 Jesse Ruderman 氏と Sid Stamm 氏は、ファイルダウンロードダイアログでスプーフィングの脆弱性を発見しました。

- CVE-2009-3375 Gregory Fleischer 氏は、document.getSelection() 関数を使用する同一生成元ポリシーのバイパスを発見しました。

- CVE-2009-3374 「moz_bug_r_a4」は XPCOM ユーティリティ XPCVariant::VariantDataToJS で Chrome ステータスへの権限昇格を発見しました。

- CVE-2009-3373 「regenrecht」は、GIF パーサーにバッファオーバーフローがあり、任意のコードが実行される可能性があることを発見しました。

- CVE-2009-3372 Marco C. は、プロキシ自動構成コードでプログラミングエラーを発見しました。これにより、サービス拒否または任意のコードの実行が引き起こされる可能性があります。

- CVE-2009-3274 Jeremy Brown 氏は、ユーザーが開くダウンロードファイルのファイル名が予測可能であることを発見しました。攻撃者がシステムに対するローカルアクセス権がある場合、これにより、ユーザーが騙されて、悪意のあるファイルを開く可能性があります。

- CVE-2009-3370 Paul Stone 氏は、Web フォームからの履歴情報が盗まれる可能性があることを発見しました。

ソリューション

xulrunner パッケージをアップグレードしてください。

安定版（stable）ディストリビューション（lenny）では、これらの問題はバージョン 1.9.0.15-0lenny1 で修正されています。

Etch リリースノートに記載されているように、旧安定版（oldstable）ディストリビューションの Mozilla 製品のセキュリティサポートは、標準の Etch セキュリティメンテナンスライフサイクルの終了前に、中止する必要があります。
安定版（stable）への更新、もしくはサポートのあるブラウザへの移行を強くお勧めします。