RHEL 4 / 5 / 6：firefox（RHSA-2011: 0310）

critical Nessus プラグイン ID 52494

言語:

概要

リモートのRed Hatホストに1つ以上のセキュリティ更新プログラムがありません。

説明

いくつかのセキュリティの問題と 1 つのバグを修正する更新済みの firefox パッケージが、 Red Hat Enterprise Linux 4、5、6 で現在利用可能です。

Red Hatセキュリティレスポンスチームは、この更新によるセキュリティ上の影響が重要度最高だと評価しています。詳細な重要度の評価を提供するCommon Vulnerability Scoring System（CVSS）のベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに確認できます。

Mozilla Firefoxは、オープンソースのWebブラウザーです。XULRunner は、Mozilla Firefox 用の XUL Runtime 環境を提供しています。

Firefox がエクステンションの HTML コンテンツのサニタイズ処理を行う方法で、欠陥が見つかりました。エクステンションがParanoidFragmentSinkクラスを使用する悪意あるコンテンツの読み込み、またはレンダリングを行う場合、コンテンツの安全な表示に失敗し、それによりFirefoxがFirefoxを実行しているユーザーの権限を利用した任意のJavaScriptの実行を引き起こす可能性があります。（CVE-2010-1585）

Firefox がダイアログボックスを処理する方法で、欠陥が見つかりました。攻撃者がこの欠陥を利用して、非作動ボタンを含む空白のダイアログボックスを表示する、悪意ある Web ページを作成する可能性があります。ユーザーがダイアログボックスのウィンドウを閉じると、悪意あるWebページの権限昇格を予期せず許可する可能性があります。（CVE-2011-0051）

不正な形式の Web コンテンツの処理に様々な欠陥が見つかりました。悪意のあるコンテンツを掲載するWebページは、Firefoxがクラッシュする原因となったり、ある特定の状況において、Firefoxを実行しているユーザーの権限で、任意のコードが実行される可能性があります。（CVE-2011-0053、CVE-2011-0055、CVE-2011-0058、CVE-2011-0062）

Firefox が無効な形式の JavaScript を処理する方法で、複数の欠陥が見つかりました。悪意のあるJavaScriptが含まれているWebサイトにより、FirefoxでFirefoxを実行しているユーザーの権限で、そのJavaScriptが実行される可能性があります。（CVE-2011-0054、CVE-2011-0056、CVE-2011-0057）

Firefox が無効な形式の JPEG 画像を処理する方法で、欠陥が見つかりました。悪意あるJPEG画像を含むWebサイトにより、Firefoxをクラッシュさせたり、Firefoxを実行しているユーザーの権限を使用して任意のコードの実行を引き起こす可能性があります。（CVE-2011-0061）

Firefox が HTTP リクエストを実行するプラグインを処理する方法で、欠陥が見つかりました。プラグインが HTTP リクエストを実行し、サーバーが 307 リダイレクト応答を送信すると、プラグインは通知されずに HTTP リクエストは転送されました。転送されたリクエストにはカスタムヘッダーが含まれている可能性があり、クロスサイトリクエスト偽造を引き起こす可能性があります。
（CVE-2011-0059）

これらの欠陥の技術的な詳細については、Firefox 3.6.14 向けの Mozilla セキュリティアドバイザリを参照してください。Mozilla アドバイザリへのリンクは、このエラータの「参照」セクションにあります。

この更新では、以下のバグも修正されます：

* Red Hat Enterprise Linux 4および5で「firefox
-setDefaultBrowser」コマンドにより、次のような警告が表示されました：

libgnomevfs-WARNING **：非推奨関数。MIME データベースにユーザーが加えた変更は現在サポートされていません。

この更新は、「setDefaultBrowser」オプションを無効にします。デフォルトの Web ブラウザの設定を行う Red Hat Enterprise Linux 4 ユーザーは、[アプリケーション] -> [設定] -> [詳細設定] -> [アプリケーションの設定]で設定を行うことができます。Red Hat Enterprise Linux 5ユーザーは、[システム] -> [設定] -> [アプリケーションの設定]で設定を行うことができます。（BZ#463131、BZ#665031）

すべての Firefox ユーザーは、これらの問題を修正する Firefox バ―ジョン 3.6.14 を含む、更新済みのこれらのパッケージにアップグレードする必要があります。更新をインストールした後、変更した内容を反映させるには Firefox を再起動する必要があります。

ソリューション

影響を受けるパッケージを更新してください。

プラグインの詳細

深刻度: Critical

ID: 52494

ファイル名: redhat-RHSA-2011-0310.nasl

バージョン: 1.21

タイプ: local

エージェント: unix

ファミリー: Red Hat Local Security Checks

公開日: 2011/3/2

更新日: 2021/1/14

サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent

リスク情報

VPR

リスクファクター: Medium

スコア: 6.7

CVSS v2

リスクファクター: Critical

Base Score: 10

ベクトル: AV:N/AC:L/Au:N/C:C/I:C/A:C

脆弱性情報

CPE: p-cpe:/a:redhat:enterprise_linux:firefox, p-cpe:/a:redhat:enterprise_linux:firefox-debuginfo, p-cpe:/a:redhat:enterprise_linux:xulrunner, p-cpe:/a:redhat:enterprise_linux:xulrunner-debuginfo, p-cpe:/a:redhat:enterprise_linux:xulrunner-devel, cpe:/o:redhat:enterprise_linux:4, cpe:/o:redhat:enterprise_linux:4.8, cpe:/o:redhat:enterprise_linux:5, cpe:/o:redhat:enterprise_linux:5.6, cpe:/o:redhat:enterprise_linux:6, cpe:/o:redhat:enterprise_linux:6.0

必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu

パッチ公開日: 2011/3/1

脆弱性公開日: 2010/4/28

参照情報

CVE: CVE-2010-1585, CVE-2011-0051, CVE-2011-0053, CVE-2011-0054, CVE-2011-0055, CVE-2011-0056, CVE-2011-0057, CVE-2011-0058, CVE-2011-0059, CVE-2011-0061, CVE-2011-0062

RHSA: 2011:0310