Debian DSA-2345-1：icedove - 複数の脆弱性

high Nessus プラグイン ID 56786

Language:

概要

リモートのDebianホストにセキュリティ関連の更新プログラムがありません。

説明

Thunderbird ベースのメールクライアントである Icedove に、複数の脆弱性が発見されました。

- CVE-2011-3647 JSSubScriptLoader は、アドオンの loadSubScript メソッドの呼び出し時に XPCNativeWrappers を適切に処理しません。それにより、リモートの攻撃者は、特定のラップ解除動作を利用する細工された Web サイトを通じて、権限を取得するのが容易になります。

- CVE-2011-3648 クロスサイトスクリプティング（XSS）の脆弱性により、リモートの攻撃者が Shift JIS エンコーディングを持つ細工されたテキストを介して、任意の Web スクリプトまたは HTML を注入できる可能性があります。

- CVE-2011-3650 Iceweasel は、多数の関数がある JavaScript ファイルを適切に処理していません。これにより、ユーザーが補助するリモートの攻撃者がサービス拒否（メモリ破損とアプリケーションクラッシュ）を引き起こしたり、Firebug で実証されているように、デバッグ中の API によりアクセスされる細工したファイルを通じて、詳細不明なその他の影響を与える可能性があります。