RHEL 6：firefox（RHSA-2012:0387）
medium Nessus プラグイン ID 58338
Language:
概要
リモートの Red Hat ホストに 1 つ以上の firefox 用セキュリティ更新プログラムがありません。説明
リモート Redhat Enterprise Linux 6 ホストに、RHSA-2012:0387 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。Mozilla Firefox は、オープンソースのウェブブラウザです。
不正な形式の Web コンテンツの処理に様々な欠陥が見つかりました。悪意のあるコンテンツを掲載する Web ページは、Firefox がクラッシュする原因となったり、ある特定の状況において、Firefox を実行しているユーザーの権限で、任意のコードが実行される可能性があります。(CVE-2012-0461、CVE-2012-0462、CVE-2012-0464)
Firefox が特定のスケーラブル・ベクター・グラフィックス（SVG）画像ファイルを解析する方法で、2 つの欠陥が見つかりました。悪意のある SVG 画像ファイルを含む Web ページにより、情報漏洩が引き起こされたり、Firefox がクラッシュしたり、Firefox を実行しているユーザーの権限で任意のコードが実行されたりする可能性があります。 （CVE-2012-0456、 CVE-2012-0457）
ユーザーが騙されて javascript: リンクをフレームにドロップした場合、欠陥があるため、悪意のあるサイトが意図された制限をバイパスし、クロスサイトスクリプティング（XSS）攻撃を引き起こす可能性があります。 （CVE-2012-0455）
ホームページが javascript: リンクに設定される可能性があることが判明しました。ユーザーが騙されて、リンクをホームボタンにドラッグしてそのようなホームページを設定すると、Firefox が繰り返しクラッシュし、最終的に Firefox を実行しているユーザーの権限で任意のコードが実行される可能性があります。 （CVE-2012-0458）
Firefox が cssText を含む特定の Web コンテンツを解析する方法で、欠陥が見つかりました。悪意のあるコンテンツを掲載するWebページは、Firefoxがクラッシュする原因となったり、ある特定の状況において、Firefoxを実行しているユーザーの権限で、任意のコードが実行される可能性があります。（CVE-2012-0459）
DOM フルスクリーン API を使用することにより、信頼されないコンテンツが mozRequestFullscreen セキュリティ保護をバイパスする可能性があることが見つかりました。悪意のある Web コンテンツを含む Web ページが、この API の欠陥を悪用して、ユーザーインターフェイスのなりすましを引き起こす可能性があります。 （CVE-2012-0460）
Firefox が複数の Content Security Policy（CSP）ヘッダーのあるページを処理する方法で、欠陥が見つかりました。これをヘッダーインジェクションの欠陥のある Web サイトと組み合わせて使用すると、クロスサイトスクリプティング攻撃が引き起こされる可能性があります。 （CVE-2012-0451）
これら欠陥の技術的な詳細については、Firefox 10.0.3 ESR 向けの Mozilla セキュリティアドバイザリを参照してください。Mozilla アドバイザリへのリンクは、このエラータの「参照」セクションにあります。
この更新では、次のバグも修正しています。
* 繁体字中国語ロケール（zh-TW）を使用している場合、Firefox を閉じる際にセグメンテーション違反が発生することがありました。 （BZ#729632）
* Web コンソール（［Tools］->［Web Developer］->［Web Console］）にテキストを入力すると、Firefox がクラッシュしました。 （BZ#784048）
* java-1.6.0-ibm-plugin および java-1.6.0-sun-plugin のパッケージには、32 ビットシステムでは /usr/lib/mozilla/plugins/ ディレクトリが、64 ビットシステムでは /usr/lib64/mozilla/plugins/ ディレクトリが必要です。これらのディレクトリは xulrunner パッケージによって作成されますが、 RHEA-2012:0327 の更新で提供されている xulrunner パッケージにはありません。
このため RHEA-2012:0327 にアップグレードすると、このディレクトリが削除され、 java-1.6.0-ibm-plugin または java-1.6.0-sun-plugin のパッケージをインストールしようとすると、依存関係のエラーが発生していました。この更新により XULRunner は、再びプラグインディレクトリを作成するようになっています。この問題は、Red Hat Enterprise Linux 6 のユーザーに影響を与えませんでした。（BZ#799042）
Firefox の全ユーザーは、Firefox バージョン 10.0.3 ESR が含まれるこれらの更新済みのパッケージへアップグレードし、これらの問題を修正する必要があります。更新をインストールした後、変更した内容を反映させるには Firefox を再起動する必要があります。
Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
RHEL firefox パッケージを、RHSA-2012:0387 のガイダンスに基づいて更新してください。参考資料
http://www.mozilla.org/security/known-vulnerabilities/firefoxESR.html
http://www.nessus.org/u?427ca575
https://access.redhat.com/errata/RHSA-2012:0387
https://access.redhat.com/security/updates/classification/#critical
https://bugzilla.redhat.com/show_bug.cgi?id=729632
https://bugzilla.redhat.com/show_bug.cgi?id=784048
https://bugzilla.redhat.com/show_bug.cgi?id=799042
https://bugzilla.redhat.com/show_bug.cgi?id=803109
https://bugzilla.redhat.com/show_bug.cgi?id=803111
https://bugzilla.redhat.com/show_bug.cgi?id=803112
https://bugzilla.redhat.com/show_bug.cgi?id=803113
https://bugzilla.redhat.com/show_bug.cgi?id=803114
https://bugzilla.redhat.com/show_bug.cgi?id=803116
プラグインの詳細
深刻度: Medium
ID: 58338
ファイル名: redhat-RHSA-2012-0387.nasl
バージョン: 1.28
タイプ: local
エージェント: unix
公開日: 2012/3/14
更新日: 2025/4/15
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
リスク情報
VPR
リスクファクター: High
スコア: 7.3
Vendor
Vendor Severity: Critical
CVSS v2
リスクファクター: High
基本値: 9.3
現状値: 7.3
ベクトル: CVSS2#AV:N/AC:M/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2012-0457
CVSS v3
リスクファクター: Medium
基本値: 6.1
現状値: 5.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
CVSS スコアのソース: CVE-2012-0455
脆弱性情報
CPE: cpe:/o:redhat:enterprise_linux:5, p-cpe:/a:redhat:enterprise_linux:xulrunner, cpe:/o:redhat:enterprise_linux:6, p-cpe:/a:redhat:enterprise_linux:xulrunner-devel, p-cpe:/a:redhat:enterprise_linux:firefox
必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2012/3/14
脆弱性公開日: 2012/3/14
参照情報
CVE: CVE-2012-0451, CVE-2012-0455, CVE-2012-0456, CVE-2012-0457, CVE-2012-0458, CVE-2012-0459, CVE-2012-0460, CVE-2012-0461, CVE-2012-0462, CVE-2012-0464
BID: 52467, 52456, 52457, 52458, 52459, 52460, 52461, 52463, 52464, 52465