Mozilla Firefox はさまざまなバグおよびセキュリティ問題を修正するため 10.0.3 ESR に更新されました。

以下のセキュリティ問題が修正されました：

- Mozilla 開発者が Firefox およびその他の Mozilla ベースの製品で使用されているブラウザエンジンで、いくつかのメモリの安全性に関するバグを特定し、修正しました。これらのバグの一部には、特定の条件下でのメモリ破損の証拠が示されていました。十分な努力をすれば少なくともこれらの一部を悪用して、任意のコードが実行されることがあると、弊社では推測しています。（MFSA 2012-19）

一般に Thunderbird および SeaMonkey 製品ではスクリプティングが無効になっているため、これらの欠陥はメールを使って悪用できません。ただし、当該製品のブラウザやブラウザ型のコンテキストでは潜在的なリスクがあります。

参照：

Bob Clary 氏は、クラッシュを引き起こす 2 つのバグについて報告しました。このクラッシュは、Firefox 3.6、Firefox ESR、Firefox 10 に影響を与えます。
 （CVE-2012-0461）

Christian Holler 氏、Jesse Ruderman 氏、Nils 氏、Michael Bebenita 氏、Dindog 氏、David Anderson 氏は、Firefox ESR と Firefox 10 に影響するメモリ安全性問題とクラッシュについて報告を行いました。（CVE-2012-0462）

Jeff Walden 氏は array.join 機能のメモリ安全性問題について報告を行いました。このバグは、 TippingPoint Zero Day イニシアチブの Pwn2Own コンテストを介し、 Vincenzo Iozzo が個別に報告しています。（CVE-2012-0464）

Masayuki Nakano 氏は、Mobile Firefox に影響するメモリ安全性の問題を報告しました

- CVE-2012-0463

- Mozilla の開発者である Matt Brubeck 氏は、DOM fullscreen API が現在有効なため、window.fullScreen は信頼できないコンテンツにより書き込み可能であることを報告しました。window.fullScreen に mozRequestFullscreen のセキュリティ保護が含まれないために、UI なりすましに利用される可能性があります。このコードの変更では、信頼できないコンテンツに対して window.fullScreen を読み取り専用にしており、DOM fullscreen API を通常の使用法で使用するように限定しています。（MFSA 2012-18/CVE-2012-0460）

Firefox 3.6 および Thunderbird 3.1 は、この脆弱性の影響を受けません。

- Mozilla のコミュニティメンバーである Disruptive Innovations の Daniel Glazman 氏は、動的変更の後に keyframe の cssText にアクセスすると、クラッシュがあることを報告しました。このクラッシュが悪用される可能性があります。（MFSA 2012-17/CVE-2012-0459）

Firefox 3.6 および Thunderbird 3.1 は、この脆弱性の影響を受けません。

- セキュリティ研究者の Mariusz Mlynski 氏は、リンクを「ホーム」ボタンにドラッグすることにより、攻撃者が潜在的な被害者に新しいホームページを設定させることができた場合、ユーザーのホームページを　javascript: URL に設定できることを報告しました。これが行われると攻撃者のページは、繰り返しブラウザをクラッシュさせたり、最終的に特権的 about:sessionrestore コンテキストでスクリプト URL をロードする可能性があります。（MFSA 2012-16/CVE-2012-0458）

- Sitewatch のセキュリティ研究者である Mike Brooks 氏は、あるページに複数の Content Security Policy（CSP）ヘッダーが存在する場合、それらのヘッダーに相加効果のページポリシーがあることを報告しました。復帰改行（CRLF）の注入を利用することで、新しい CSP ルールを導入することができるため、個別のヘッダー注入の脆弱性があるサイトで、クロスサイトスクリプティング（XSS）が可能になります。（MFSA 2012-15/CVE-2012-0451）

Firefox 3.6 および Thunderbird 3.1 は、この脆弱性の影響を受けません。

- OUSPG のセキュリティ研究者の Atte Kettunen 氏は、Firefox が　Address Sanitizer ツールを使用して SVG を処理する際に 2 つの問題が存在することを見つけました。第 1 の問題は、クリティカルと評価され、 SVG アニメーションの中にある use-after-free のエラーが任意のコードの実行を引き起こす可能性があります。第 2 の問題は、中程度と評価され、SVG フィルタの中にある有効範囲外のエラーです。この結果、ユーザーのメモリからデータを組み込んで、ページコンテンツにアクセス可能になる可能性があります。（MFSA 2012-14 / CVE-2012-0457 / CVE-2012-0456）

- Firefox は javascript の欠落を防止：フレームへのリンクは、悪意あるサイトがユーザーを騙して自らクロスサイトスクリプティング（XSS）攻撃が実行される事態を防止します。セキュリティリサーチャーの Soroush Dalili は、この保護策をバイパスする方法について報告しています。（MFSA 2012-13/CVE-2012-0455）

- Security Assessment のセキュリティ研究者である Blair Strang 氏および Scott Bell 氏は、親ウィンドウが、ファイルを開くダイアログを使用する子ウィンドウを生成し、そして閉じる場合、32 ビットの Windows 7 システムにおいて、shlwapi.dll でクラッシュが誘発される可能性があることを見つけました。このクラッシュが悪用される可能性があります。（MFSA 2012-12/CVE-2012-0454）

Firefox 3.6 および Thunderbird 3.1 は、この脆弱性の影響を受けません。

- KDE4 統合を修正しました。（bnc#745017）

Firefox バージョン 10.0.x がインストールされている場合、次のセキュリティの問題による影響を受けます。
  - 複数のメモリ破損の問題。By tricking a user into visiting a specially crafted page, these issues may allow an attacker to execute arbitrary code in the context of the affected application. (CVE-2012-0454, CVE-2012-0457, CVE-2012-0459, CVE-2012-0461, CVE-2012-0462, CVE-2012-0463, CVE-2012-0464)

  - An HTTP Header security bypass vulnerability exists that can be leveraged by attackers to bypass certain security restrictions and conduct cross-site scripting attacks. (CVE-2012-0451).

  - A security bypass vulnerability exists that can be exploited by an attacker if the victim can be tricked into setting a new home page by dragging a specially crafted link to the 'home' button URL, which will set the user's home page to a 'javascript: ' URL. (CVE-2012-0458) 

  - An information disclosure vulnerability exists due to an out-of-bounds read in SVG filters. (CVE-2012-0456)

  - A cross-site scripting vulnerability exists that can be triggered by dragging and dropping 'javascript: ' links onto a frame. (CVE-2012-0455)

  - 'window.fullScreen' is writeable by untrusted content, allowing attackers to perform UI spoofing attacks. (CVE-2012-0460)

Mozilla Firefox および Thunderbird のセキュリティの問題が特定され、修正されました：

Security Assessment のセキュリティ研究者である Blair Strang 氏および Scott Bell 氏は、親ウィンドウが、ファイルを開くダイアログを使用する子ウィンドウを生成し、そして閉じる場合、32 ビットの Windows 7 システムにおいて、shlwapi.dll でクラッシュが誘発される可能性があることを見つけました。このクラッシュは悪用されるおそれがあります（CVE-2012-0454）。

Firefox は、悪意のあるサイトで、ユーザーを騙してクロスサイトスクリプティング（XSS）攻撃を仕掛けさせないようにするために、フレームで javascript: リンクをドロップすることを阻止しています。セキュリティ研究者である Soroush Dalili 氏は、この保護をバイパスする方法があることを報告しました（CVE-2012-0455）。

OUSPG 所属のセキュリティ研究者である Atte Kettunen 氏は、Address Sanitizer ツールを使用することで、Firefox の SVG の処理に関する問題が 2 つあることを見つけました。第 1 の問題は、クリティカルと評価され、 SVG アニメーションの中にある use-after-free のエラーが任意のコードの実行を引き起こす可能性があります。第 2 の問題は、中程度と評価され、SVG フィルタの中にある有効範囲外のエラーです。これにより、ユーザーのメモリからデータを取り込んで、それをページコンテンツにアクセスできるようにする可能性があります（CVE-2012-0457、CVE-2012-0456）。

Sitewatch のセキュリティ研究者である Mike Brooks 氏は、あるページに複数の Content Security Policy（CSP）ヘッダーが存在する場合、それらのヘッダーに相加効果のページポリシーがあることを報告しました。文章中の改行（CRLF）のインジェクションを利用することで、新しい CSP ルールを導入することができため、個別のヘッダーインジェクションの脆弱性があるサイトで、クロスサイトスクリプティング（XSS）が可能になります（CVE-2012-0451）。

セキュリティ研究者である Mariusz Mlynski 氏は、攻撃者が、潜在的な被害者を誘導して、リンクをホームボタンにドラッグすることで、新しいホームページを設定させることができる場合、そのユーザーのホームページを javascript: URL に設定できることを報告しました。
これが行われると、攻撃者のページにより、ブラウザを何回もクラッシュさせることができるため、権限のある about:sessionrestore コンテキストに、スクリプト URL がそのうちロードされることになります（CVE-2012-0458）。

Mozilla のコミュニティメンバーである Disruptive Innovations の Daniel Glazman 氏は、動的変更の後に keyframe の cssText にアクセスすると、クラッシュが発生することを報告しました。このクラッシュは悪用されるおそれがあります（CVE-2012-0459）。

Mozilla の開発者である Matt Brubeck 氏は、DOM fullscreen API が現在有効なため、window.fullScreen は信頼できないコンテンツにより書き込み可能であることを報告しました。window.fullScreen に mozRequestFullscreen のセキュリティ保護が含まれないために、UI なりすましに利用される可能性があります。このコードの変更では、信頼できないコンテンツに対して window.fullScreen を読み取り専用にしており、DOM fullscreen API を通常の使用率で使用するように限定しています（CVE-2012-0460）。

Mozilla 開発者が Firefox およびその他の Mozilla ベースの製品で使用されているブラウザエンジンで、いくつかのメモリの安全性に関するバグを特定し、修正しました。
これらのバグには、特定の状況において、メモリ破損の証拠を示しているものがいくつかありました。これらのなかには、十分な手間をかけることで、任意のコードの実行に悪用される可能性があるバグが、少なくともいくつかあると推定しています（CVE-2012-0461、CVE-2012-0462、CVE-2012-0464）。

mozilla firefox と thunderbird のパッケージは、これらのセキュリティの欠陥の影響を受けない最新バージョンに、それぞれアップグレードしています。

さらに、NSS および NSPR のパッケージは、最新バージョンにアップグレードされています。OpenJDK の java プラグイン（icedtea-web）は、firefox 10.x+ に対するサポートを改善している、バージョン 1.1.5 にアップグレードされています。

更新：

本来ならば Mandriva の製品寿命ポリシーで決まるにもかかわらず、2010.2 向けの更新済みパッケージが提供される予定です。

Thunderbird バージョン 10.0.x がインストールされている場合、次のセキュリティの問題による影響を受けます。
  - 複数のメモリ破損の問題。By tricking a user into visiting a specially crafted page, these issues may allow an attacker to execute arbitrary code in the context of the affected application. (CVE-2012-0454, CVE-2012-0457, CVE-2012-0459, CVE-2012-0461, CVE-2012-0462, CVE-2012-0463, CVE-2012-0464)

  - An HTTP Header security bypass vulnerability exists that can be leveraged by attackers to bypass certain security restrictions and conduct cross-site scripting attacks. (CVE-2012-0451).

  - A security bypass vulnerability exists that can be exploited by an attacker if the victim can be tricked into setting a new home page by dragging a specially crafted link to the 'home' button URL, which will set the user's home page to a 'javascript: ' URL. (CVE-2012-0458) 

  - An information disclosure vulnerability exists due to an out-of-bounds read in SVG filters. (CVE-2012-0456)

  - A cross-site scripting vulnerability exists that can be triggered by dragging and dropping 'javascript: ' links onto a frame. (CVE-2012-0455)

  - 'window.fullScreen' is writeable by untrusted content, allowing attackers to perform UI spoofing attacks. (CVE-2012-0460)

インストールされている Firefox が 10.0.3 より前のバージョンであるため、次のセキュリティ問題により影響を受ける可能性があります：
 
 - 複数のメモリ破損問題ユーザーを騙して、特別に細工されたページにアクセスさせることができた場合、攻撃者が、これらの問題を利用して、影響を受けるアプリケーションのコンテキストで任意のコードを実行する可能性があります。（CVE-2012-0454、CVE-2012-0457、CVE-2012-0459、CVE-2012-0461、CVE-2012-0462、CVE-2012-0463、CVE-2012-0464）

- HTTP ヘッダーのセキュリティバイパスの脆弱性が存在し、攻撃者がこれを利用して、特定のセキュリティ制限をバイパスしたり、クロスサイトスクリプティング攻撃を実行したりする可能性があります。（CVE-2012-0451）。

- セキュリティ機能がバイパスされる脆弱性が存在します。攻撃者が、これを悪用し、被害者を騙し、特別に細工されたリンクを「ホーム」ボタンの URL にドラッグさせ、新しいホームページを設定させることができた場合、ユーザーのホームページに「javascript:」URL が設定されてしまいます。（CVE-2012-0458）

- SVG フィルターに領域外読み取りがあるため、情報漏洩の脆弱性が存在します。（CVE-2012-0456）

- クロスサイトスクリプティングの脆弱性が存在します。これは、「javascript:」リンクをフレームにドラッグ&ドロップすることにより発生されます。（CVE-2012-0455）

- 「window.fullScreen」は信頼できないコンテンツを書き込むことが可能であるため、攻撃者が UI のなりすまし攻撃を実行することが可能です。（CVE-2012-0460）

SeaMonkeyのインストールバージョンは、2.8.0より前です。上記のバージョンは以下のセキュリティ問題の影響を受ける可能性があります。
  - 複数のメモリ破損の問題。By tricking a user into visiting a specially crafted page, these issues may allow an attacker to execute arbitrary code in the context of the affected application. (CVE-2012-0454, CVE-2012-0457, CVE-2012-0459, CVE-2012-0461, CVE-2012-0462, CVE-2012-0463, CVE-2012-0464)

  - An HTTP Header security bypass vulnerability that can be leveraged by attackers to bypass certain security restrictions and conduct cross-site scripting attacks. (CVE-2012-0451).

  - A security bypass vulnerability that can be exploited by an attacker if the victim can be tricked into setting a new home page by dragging a specially crafted link to the 'home' button URL, which will set the user's home page to a 'javascript: ' URL. (CVE-2012-0458) 

  - An information disclosure vulnerability due to an out of bounds read in SVG filters. (CVE-2012-0456)

  - A cross-site scripting vulnerability that can be triggered by dragging and dropping 'javascript: ' links onto a frame. (CVE-2012-0455)

  - 'window.fullScreen' is writeable by untrusted content, allowing attackers to perform UI spoofing attacks. (CVE-2012-0460)

インストールされている Thunderbird 10.0.x のバージョンが、次のセキュリティの問題による影響を受ける可能性があります：
 
 - 複数のメモリ破損の問題。ユーザーを騙して、特別に細工されたページにアクセスさせることができた場合、攻撃者が、これらの問題を利用して、影響を受けるアプリケーションのコンテキストで任意のコードを実行する可能性があります。（CVE-2012-0454、CVE-2012-0457、CVE-2012-0459、CVE-2012-0461、CVE-2012-0462、CVE-2012-0463、CVE-2012-0464）

- HTTP ヘッダーのセキュリティバイパスの脆弱性が存在し、攻撃者がこれを利用して、特定のセキュリティ制限をバイパスしたり、クロスサイトスクリプティング攻撃を実行したりする可能性があります。（CVE-2012-0451）。

- セキュリティ機能がバイパスされる脆弱性が存在します。攻撃者が、これを悪用し、被害者を騙し、特別に細工されたリンクを「ホーム」ボタンの URL にドラッグさせ、新しいホームページを設定させることができた場合、ユーザーのホームページに「javascript:」URL が設定されてしまいます。（CVE-2012-0458）

- SVG フィルターに領域外読み取りがあるため、情報漏洩の脆弱性が存在します。（CVE-2012-0456）

- クロスサイトスクリプティングの脆弱性が存在します。これは、「javascript:」リンクをフレームにドラッグ&ドロップすることにより発生されます。（CVE-2012-0455）

- 「window.fullScreen」は信頼できないコンテンツを書き込むことが可能であるため、攻撃者が UI のなりすまし攻撃を実行することが可能です。（CVE-2012-0460）

ID	名前	製品	ファミリー	公開日	更新日	深刻度
58524	SuSE 11.1 セキュリティ更新：Mozilla Firefox（SAT パッチ番号 6007）	Nessus	SuSE Local Security Checks	2012/3/29	2021/1/19	high
58348	Firefox 10.0.x < 10.0.3 複数の脆弱性	Nessus	Windows	2012/3/15	2018/7/16	high
58771	Mandriva Linux セキュリティアドバイザリ：Mozilla（MDVSA-2012:032-1）	Nessus	Mandriva Local Security Checks	2012/4/18	2021/1/6	high
58350	Mozilla Thunderbird 10.0.x < 10.0.3 の複数の脆弱性	Nessus	Windows	2012/3/15	2018/7/16	high
58353	Firefox < 10.0.3 複数の脆弱性（Mac OS X）	Nessus	MacOS X Local Security Checks	2012/3/15	2018/7/14	high
58352	SeaMonkey < 2.8.0の複数の脆弱性	Nessus	Windows	2012/3/15	2018/7/27	high
58355	Thunderbird 10.0.x < 10.0.3 複数の脆弱性（Mac OS X）	Nessus	MacOS X Local Security Checks	2012/3/15	2018/7/14	high

検出

プラグインの検索

high

high

high

high

high

high

high