RHEL 6：firefox（RHSA-2012:0515）
medium Nessus プラグイン ID 58867
Language:
概要
リモートの Red Hat ホストに 1 つ以上の firefox 用セキュリティ更新プログラムがありません。説明
リモート Redhat Enterprise Linux 6 ホストに、RHSA-2012:0515 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。Mozilla Firefox は、オープンソースのウェブブラウザです。XULRunner は、Mozilla Firefox 用の XUL Runtime 環境を提供しています。
Firefox を使用してOpenType（OTS）用のサニタイザーで見つかった欠陥は、無効な形式の OpenType フォントの潜在的な悪用を防ぐものです。悪質なコンテンツを含むウェブページにより、Firefox がクラッシュしたり、ある特定の状況において、Firefox を実行しているユーザーの権限で任意のコードが実行されたりする可能性があります。(CVE-2011-3062)
悪質なコンテンツを掲載するウェブページは、Firefox がクラッシュする原因となったり、ある特定の状況において、Firefox を実行しているユーザーの権限で、任意のコードが実行される可能性があります。(CVE-2012-0467、CVE-2012-0468、CVE-2012-0469)
悪質なスケーラブルベクターグラフィックス (SVG) イメージファイルを含むウェブページにより、Firefox がクラッシュしたり、Firefox を実行しているユーザーの権限で任意のコードが実行される可能性があります。(CVE-2012-0470)
Firefox が、埋め込んだ Cairo ライブラリを使用して、特定のフォントをレンダリングする方法で、欠陥が見つかりました。悪質なコンテンツを含むウェブページにより、Firefox がクラッシュしたり、ある特定の状況において、Firefox を実行しているユーザーの権限で任意のコードが実行されたりする可能性があります。(CVE-2012-0472)
Firefox が WebGL を使用して特定のイメージをレンダリングする方法で、欠陥が見つかりました。悪質なコンテンツを含むウェブページにより、Firefox がクラッシュしたり、ある特定の状況において、Firefox を実行しているユーザーの権限で任意のコードが実行されたりする可能性があります。(CVE-2012-0478)
クロスサイトスクリプティング (XSS) の欠陥が、Firefox で特定のマルチバイト文字セットを処理する方法で、見つかりました。悪意のあるコンテンツが含まれるウェブページが、別のウェブサイトの権限で Firefox に JavaScript コードを実行させる可能性があります。(CVE-2012-0471)
Firefox が WebGL を使用して特定のグラフィックをレンダリングする方法で、欠陥が見つかりました。
悪意的なコンテンツを掲載するウェブページは、Firefox がクラッシュする原因となることがあります。
(CVE-2012-0473)
ユーザーが閲覧している Web サイトとは別のサイトがアドレスバーに表示される Firefox の欠陥。攻撃者は、この欠陥を悪用して、悪意のある URL を隠します。これにより、ユーザーをだまして、信頼できるサイトを表示していると信じ込ませたり、攻撃者のサイトからスクリプトをロードできるようにしたりしてしまいます。その結果、クロスサイトスクリプティング（XSS）攻撃を引き起こす可能性があります。
(CVE-2012-0474)
Firefox が ISO-2022-KR と ISO-2022-CN の文字セットをデコードする方法で、欠陥が見つかりました。悪意のあるコンテンツが含まれるウェブページが、別のウェブサイトの権限で Firefox に JavaScript コードを実行させる可能性があります。
(CVE-2012-0477)
Firefox が RSS フィードと Atom フィードを処理する方法で、欠陥が見つかりました。HTTPS 経由でロードされた無効な RSS または Atom のコンテンツにより、Firefox は前述のコンテンツのアドレスをロケーションバーに表示することになりますが、メインウィンドウにコンテンツは表示しません。以前のコンテンツは引き続き表示されます。攻撃者は、この欠陥を悪用して、フィッシング攻撃を仕掛けることがあります。あるいは、ページが実際に攻撃者によりコントロールされるコンテンツである場合、ユーザーをだましてロケーションバーで報告されているサイトを閲覧していると思わせることがあります。(CVE-2012-0479)
これら欠陥の技術的な詳細については、Firefox 10.0.4 ESR 向けの Mozilla セキュリティアドバイザリを参照してください。Mozilla アドバイザリへのリンクは、このエラータの「参照」セクションにあります。
Red Hat は、これらの問題を報告してくれた Mozilla プロジェクトに感謝の意を表します。
Upstream では、Google セキュリティチームの Mateusz Jurczyk が CVE-2011-3062 の、 OUSPG の Aki Helin が CVE-2012-0469 の、 OUSPG の Atte Kettunen が CVE-2012-0470 の、 team509 via iDefense の wushi が CVE-2012-0472 の、 Ms2ger が CVE-2012-0478 の、 Opera Software の Anne van Kesteren が CVE-2012-0471 の、 Matias Juntunen が CVE-2012-0473 の、Jordi Chancel 、 Eddy Bordi、および Chris McGowen が CVE-2012-0474 の、 Masato Kinugawa が CVE-2012-0477 の、そして Jeroen van der Gun が CVE-2012-0479 の最初の報告者であると認めています。
Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
RHEL firefox パッケージを、RHSA-2012:0515 のガイダンスに基づいて更新してください。参考資料
http://www.mozilla.org/security/known-vulnerabilities/firefoxESR.html
http://www.nessus.org/u?04bb0adf
https://access.redhat.com/errata/RHSA-2012:0515
https://access.redhat.com/security/updates/classification/#critical
https://bugzilla.redhat.com/show_bug.cgi?id=815000
https://bugzilla.redhat.com/show_bug.cgi?id=815019
https://bugzilla.redhat.com/show_bug.cgi?id=815020
https://bugzilla.redhat.com/show_bug.cgi?id=815021
https://bugzilla.redhat.com/show_bug.cgi?id=815022
https://bugzilla.redhat.com/show_bug.cgi?id=815023
https://bugzilla.redhat.com/show_bug.cgi?id=815024
https://bugzilla.redhat.com/show_bug.cgi?id=815026
https://bugzilla.redhat.com/show_bug.cgi?id=815037
プラグインの詳細
深刻度: Medium
ID: 58867
ファイル名: redhat-RHSA-2012-0515.nasl
バージョン: 1.31
タイプ: local
エージェント: unix
公開日: 2012/4/25
更新日: 2025/4/15
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
リスク情報
VPR
リスクファクター: High
スコア: 8.8
Vendor
Vendor Severity: Critical
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 8.7
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2012-0470
CVSS v3
リスクファクター: Medium
基本値: 6.1
現状値: 5.8
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
現状ベクトル: CVSS:3.0/E:H/RL:O/RC:C
CVSS スコアのソース: CVE-2012-0474
脆弱性情報
CPE: cpe:/o:redhat:enterprise_linux:5, p-cpe:/a:redhat:enterprise_linux:xulrunner, cpe:/o:redhat:enterprise_linux:6, p-cpe:/a:redhat:enterprise_linux:xulrunner-devel, p-cpe:/a:redhat:enterprise_linux:firefox
必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2012/4/24
脆弱性公開日: 2012/3/30
参照情報
CVE: CVE-2011-3062, CVE-2012-0467, CVE-2012-0468, CVE-2012-0469, CVE-2012-0470, CVE-2012-0471, CVE-2012-0472, CVE-2012-0473, CVE-2012-0474, CVE-2012-0477, CVE-2012-0478, CVE-2012-0479
BID: 53227, 53228, 53229, 53231, 53218, 53219, 53220, 53221, 53222, 53223, 53224, 53225