Mozilla NSS、Firefox および Thunderbird のセキュリティの問題が特定され、修正されました：

DigiCert Sdn によって発行される、22 の弱い 512 ビット証明書。Bhd 認証局は、root CA ストレージから取り消されました。これは、rootcerts-20111103.00 および nss-3.13 で修正されました。DigiCert Sdn。Bhd は、Entrust and Verizon（GTE CyberTrust）に基づくマレーシアの政府系 CA です。これは、Mozilla の root プログラムのメンバーである米国に拠点を置く企業、DigiCert, Inc. と何ら提携関係にありません。

Mozilla Network Security Services（NSS）の信頼できない検索パスの脆弱性により、ローカルユーザーが、最上位ディレクトリのトロイの木馬 pkcs11.txt ファイルを通じて、権限を取得する可能性があります（CVE-2011-3640）。

3.6.24 より前の Mozilla Firefox と 4.x から 7.0 までの Mozilla Firefox、および 3.1.6 より前の Thunderbird と 5.0 から 7.0 までの Thunderbird におけるクロスサイトスクリプティング（XSS）の脆弱性により、リモートの攻撃者が、Shift JIS エンコーディングを伴う細工されたテキストを介して、任意の Web スクリプトまたは HTML を注入する可能性があります（CVE-2011-3648）。

3.6.24 より前の Mozilla Firefox と 4.x から 7.0 までの Mozilla Firefox、および 3.1.6 より前の Thunderbird と 5.0 から 7.0 までの Thunderbird は、多数の関数がある JavaScript ファイルを適切に処理していません。これにより、ユーザーが支援するリモートの攻撃者がサービス拒否（メモリ破損とアプリケーションクラッシュ）を引き起こし、Firebug で実証されているように、デバッグ中の API によりアクセスされる細工したファイルを通じて、詳細不明なその他の影響を及ぼす可能性があります（CVE-2011-3650）。

次の脆弱性の影響を受けるのは、Mandriva Linux 2011 のみです：

Mozilla Firefox 7.0 および Thunderbird 7.0 において、ブラウザエンジンでの複数の詳細不明な脆弱性により、リモートの攻撃者がサービス拒否（メモリ破損とアプリケーションクラッシュ）を引き起こし、不明なベクトルを介して、任意のコードを実行する可能性があります（CVE-2011-3651）。

8.0 より前の Mozilla Firefox および 8.0 より前の Thunderbird でのブラウザエンジンは、メモリを適切に割り当てていません。これにより、リモートの攻撃者がサービス拒否（メモリ破損とアプリケーションクラッシュ）を引き起こし、特定されていないベクトルを介して、任意のコードを実行する可能性があります（CVE-2011-3652）。

8.0 より前の Mozilla Firefox および 8.0 より前の Thunderbird でのブラウザエンジンは、SVG mpath 要素から SVG 以外の要素へのリンクを適切に処理していません。これにより、リモートの攻撃者がサービス拒否（メモリ破損とアプリケーションクラッシュ）を引き起こし、特定されていないベクトルを介して、任意のコードを実行すること可能性があります（CVE-2011-3654）。

4.x から 7.0 までの Mozilla Firefox および 5.0 から 7.0 までの Thunderbird は、NoWaiverWrapper ラッパーの使用をチェックせずにアクセスコントロールを実行します。これにより、リモートの攻撃者が、細工された Web サイトを介して権限を取得する可能性があります（CVE-2011-3655）。

次の脆弱性の影響を受けるのは、Mandriva Enterpriser Server 5.2 と Mandriva Linux 2010.2 のみです：

3.6.24 より前の Mozilla Firefox と 3.1.6 より前の Thunderbird における JSSubScriptLoader は、アドオンの loadSubScript メソッドの呼び出し時に XPCNativeWrappers を適切に処理しません。それにより、リモートの攻撃者は、特定のラップ解除動作を利用する細工された Web サイトを介して、権限を取得するのが容易になります。これは、CVE-2011-3004 と関係する問題です（CVE-2011-3647）。

さらに、そのために一部のパッケージを再ビルドして、更新として提供する必要があります。

検出

Mandriva Linux セキュリティアドバイザリ：mozilla（MDVSA-2011: 169）

critical Nessus プラグイン ID 56765

変更ログが見つかりません