Oracle Linux 5/6:firefox(ELSA-2013-0144)

critical Nessus プラグイン ID 68707
New! プラグインの深刻度には CVSS v3 が適用されるようになりました。

プラグインの深刻度は、デフォルトで CVSS v3 を使って計算されるように更新されました。プラグインに CVSS v3 スコアがない場合には、CVSS v2 を使って深刻度が計算されます。深刻度の表示設定は、[設定]のドロップダウンで切り替えができます。

概要

リモート Oracle Linux ホストに、1 つ以上のセキュリティ更新がありません。

説明

Red Hat セキュリティアドバイザリ 2013:0144 から:

複数のセキュリティ上の問題を修正する更新済みの firefox パッケージが、 Red Hat Enterprise Linux 5 および 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響が重大だと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System (CVSS)のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Mozilla Firefox はオープンソースの Web ブラウザです。XULRunner は、Mozilla Firefox 用の XUL Runtime 環境を提供しています。

不正な形式の Web コンテンツの処理に様々な欠陥が見つかりました。悪意のあるコンテンツが含まれる Web ページが、Firefox をクラッシュさせたり、 Firefox を実行しているユーザーの権限で任意のコードを実行したりする可能性があります。(CVE-2013-0744、CVE-2013-0746、CVE-2013-0750、CVE-2013-0753、CVE-2013-0754、CVE-2013-0762、CVE-2013-0766、CVE-2013-0767、CVE-2013-0769)

Chrome オブジェクトラッパーの実装方法で、欠陥が見つかりました。
悪意あるコンテンツを利用して、Firefox にインストールされているプラグインで Firefox に任意のコードを実行させる可能性があります。(CVE-2013-0758)

Firefox が URL の値をアドレスバーに表示する方法に欠陥があるため、悪意あるサイトやユーザーがフィッシング攻撃を実行する可能性があります。
(CVE-2013-0759)

Firefox で特定の JavaScript 関数が実装される方法で、情報漏洩の欠陥が見つかりました。攻撃者が、この欠陥を利用して、アドレス空間配置のランダム化(ASLR)やその他のセキュリティの制限をバイパスする可能性があります。(CVE-2013-0748)

これらの欠陥の技術的な詳細については、Firefox 10.0.12 ESR 向けの Mozilla セキュリティアドバイザリを参照してください。Mozilla アドバイザリへのリンクは、このエラータの「参照」セクションにあります。

Red Hat は、Mozilla プロジェクトがこれらの問題を報告してくれたことに感謝の意を表します。Upstream は、Atte Kettunen 氏、Boris Zbarsky 氏、pa_kt、 regenrecht、Abhishek Arya 氏、Christoph Diehl 氏、Christian Holler 氏、 Mats Palmgren 氏、Chiaki Ishikawa 氏、Mariusz Mlynski 氏、Masato Kinugawa 氏、 Jesse Ruderman 氏をこれらの問題の最初の報告者として認めます。

Firefox の全ユーザーは、Firefox バージョン 10.0.12 ESR が含まれるこれらの更新済みのパッケージへアップグレードし、これらの問題を修正する必要があります。
更新をインストールした後、変更した内容を反映させるには Firefox を再起動する必要があります。

ソリューション

影響を受ける firefox パッケージを更新してください。

関連情報

https://oss.oracle.com/pipermail/el-errata/2013-January/003191.html

https://oss.oracle.com/pipermail/el-errata/2013-January/003205.html

プラグインの詳細

深刻度: Critical

ID: 68707

ファイル名: oraclelinux_ELSA-2013-0144.nasl

バージョン: 1.12

タイプ: local

エージェント: unix

公開日: 2013/7/12

更新日: 2021/1/14

依存関係: ssh_get_info.nasl

リスク情報

VPR

リスクファクター: Critical

スコア: 9.5

CVSS v2

リスクファクター: Critical

Base Score: 10

Temporal Score: 8.7

ベクトル: AV:N/AC:L/Au:N/C:C/I:C/A:C

現状ベクトル: E:H/RL:OF/RC:C

脆弱性情報

CPE: p-cpe:/a:oracle:linux:firefox, p-cpe:/a:oracle:linux:xulrunner, p-cpe:/a:oracle:linux:xulrunner-devel, cpe:/o:oracle:linux:5, cpe:/o:oracle:linux:6

必要な KB アイテム: Host/local_checks_enabled, Host/OracleLinux, Host/RedHat/release, Host/RedHat/rpm-list

エクスプロイトが利用可能: true

エクスプロイトの容易さ: Exploits are available

パッチ公開日: 2013/1/12

脆弱性公開日: 2013/1/13

エクスプロイト可能

Core Impact

Metasploit (Firefox 17.0.1 Flash Privileged Code Injection)

参照情報

CVE: CVE-2013-0744, CVE-2013-0746, CVE-2013-0748, CVE-2013-0750, CVE-2013-0753, CVE-2013-0754, CVE-2013-0758, CVE-2013-0759, CVE-2013-0762, CVE-2013-0766, CVE-2013-0767, CVE-2013-0769

BID: 57185

RHSA: 2013:0144