RHEL 5/6:firefox(RHSA-2013:1812)

critical Nessus プラグイン ID 71335

概要

リモート Red Hat ホストに 1 つ以上のセキュリティ更新がありません。

説明

複数のセキュリティ上の問題を修正する更新済みの firefox パッケージが、 Red Hat Enterprise Linux 5 および 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響が重大だと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System (CVSS)のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Mozilla Firefox はオープンソースの Web ブラウザです。XULRunner は、Mozilla Firefox 用の XUL Runtime 環境を提供しています。

不正な形式の Web コンテンツの処理に様々な欠陥が見つかりました。悪意あるコンテンツが含まれている Web ページがあるため、 Firefox が予期せず終了したり、Firefox を実行しているユーザーの権限で任意のコードが実行されたりする可能性があります。(CVE-2013-5609、CVE-2013-5616、CVE-2013-5618、 CVE-2013-6671、CVE-2013-5613)

Firefox が、文字符号化情報が欠落している Web コンテンツをレンダリングする方法で、欠陥が見つかりました。攻撃者はこの欠陥を利用して、同一生成元の継承をバイパスし、クロスサイトスクリプティング攻撃(XSS)を実行する可能性があります。(CVE-2013-5612)

悪意のある特定の Web コンテンツが、サンドボックス化した iframe が適用する制限をバイパスする可能性があることがわかりました。攻撃者が、この欠陥を他の脆弱性と組み合わせて、 Firefox を実行しているユーザーの権限で任意のコードを実行する可能性があります。(CVE-2013-5614)

Red Hat は、Mozilla プロジェクトがこれらの問題を報告してくれたことに感謝の意を表します。Upstream は、Ben Turner 氏、Bobby Holley 氏、 Jesse Ruderman 氏、Christian Holler 氏、Masato Kinugawa 氏、Daniel Veditz 氏、 Jesse Schwartzentruber 氏、Nils 氏、Tyson Smith 氏、および Atte Kettunen 氏を、これらの問題の最初の報告者として認識しています。

これらの欠陥の技術的な詳細については、Firefox 24.2.0 ESR 向けの Mozilla セキュリティアドバイザリを参照してください。Mozilla アドバイザリへのリンクは、このエラータの「参照」セクションにあります。

Firefox の全ユーザーは、Firefox バージョン 24.2.0 ESR が含まれるこれらの更新済みのパッケージへアップグレードし、これらの問題を修正する必要があります。更新をインストールした後、変更した内容を反映させるには Firefox を再起動する必要があります。

ソリューション

影響を受ける firefox および/または firefox-debuginfo パッケージを更新してください。

参考資料

http://www.nessus.org/u?a134523f

https://access.redhat.com/errata/RHSA-2013:1812

https://access.redhat.com/security/cve/cve-2013-5609

https://access.redhat.com/security/cve/cve-2013-6671

https://access.redhat.com/security/cve/cve-2013-5613

https://access.redhat.com/security/cve/cve-2013-5612

https://access.redhat.com/security/cve/cve-2013-5616

https://access.redhat.com/security/cve/cve-2013-5614

https://access.redhat.com/security/cve/cve-2013-5618

https://access.redhat.com/security/cve/cve-2013-0772

プラグインの詳細

深刻度: Critical

ID: 71335

ファイル名: redhat-RHSA-2013-1812.nasl

バージョン: 1.21

タイプ: local

エージェント: unix

公開日: 2013/12/11

更新日: 2021/1/14

サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 6.7

CVSS v2

リスクファクター: Critical

Base Score: 10

Temporal Score: 7.4

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C

CVSS v3

リスクファクター: Critical

Base Score: 9.8

Temporal Score: 8.5

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C

脆弱性情報

CPE: p-cpe:/a:redhat:enterprise_linux:firefox, p-cpe:/a:redhat:enterprise_linux:firefox-debuginfo, cpe:/o:redhat:enterprise_linux:5, cpe:/o:redhat:enterprise_linux:6, cpe:/o:redhat:enterprise_linux:6.5

必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2013/12/11

脆弱性公開日: 2013/2/19

参照情報

CVE: CVE-2013-0772, CVE-2013-5609, CVE-2013-5612, CVE-2013-5613, CVE-2013-5614, CVE-2013-5616, CVE-2013-5618, CVE-2013-6671

RHSA: 2013:1812