Mozilla SeaMonkey ブラウザパッケージはバージョン 2.0.1 に更新され、多数のバグとさまざまなセキュリティの問題を修正しました。

次の問題が修正されました：

- MFSA 2009-65/CVE-2009-3979/CVE-2009-3981 メモリ破損の証拠によるクラッシュ（1.9.0.16）

- MFSA 2009-68/CVE-2009-3983（bmo#487872）NTLM リフレクションの脆弱性

- MFSA 2009-69/CVE-2009-3984/CVE-2009-3985（bmo#521461、bmo#514232）ロケーションバースプーフィングの脆弱性

- MFSA 2009-70/CVE-2009-3986（bmo#522430）Chrome window.opener による権限昇格

- MFSA 2009-71/CVE-2009-3987：COM オブジェクト列挙は、Windows オペレーティングシステムにのみ影響を与えます。

firefox 3.5.x のセキュリティ問題が見つかり、修正されました：

3.5.6 より前の Mozilla Firefox 3.5.x および 2.0.1 より前の SeaMonkey の liboggplay により、コンテキスト依存の攻撃者が、メモリの安全性の問題に関連する、サービス拒否（アプリケーションクラッシュ）を引き起こしたり、詳細不明なベクトルを介して任意のコードを実行したりする可能性があります。（CVE-2009-3388）

3.5.6 より前の Mozilla Firefox 3.5 および 2.0.1　より前の SeaMonkey で使用される、1.1 より前の Xiph.Org Theora における libtheora の整数オーバーフローにより、リモートの攻撃者は、寸法が大きな動画を通じて、サービス拒否（アプリケーションクラッシュ）を引き起こすか、任意のコードを実行することが可能です（CVE-2009-3389）。

3.0.16 より前の Mozilla Firefox、3.5.6 より前の Mozilla Firefox 3.5.x、2.0.1 より前の SeaMonkey、Thunderbird のブラウザエンジンにある複数の詳細不明な脆弱性により、リモートの攻撃者が、サービス拒否（メモリ破損およびアプリケーションクラッシュ）を引き起こすことや、未知のベクトルを介して任意のコードを実行する可能性があります（CVE-2009-3979）。

3.5.6 より前の Mozilla Firefox 3.5.x、2.0.1 より前の SeaMonkey、Thunderbird のブラウザエンジンにある複数の詳細不明な脆弱性により、リモートの攻撃者が、サービス拒否（メモリ破損およびアプリケーションクラッシュ）を引き起こすことや、未知のベクトルを介して任意のコードを実行する可能性があります（CVE-2009-3980）。

3.5.6 より前の Mozilla Firefox 3.5.x、2.0.1 より前の SeaMonkey、Thunderbird の JavaScript エンジンにある複数の詳細不明な脆弱性により、リモートの攻撃者が、サービス拒否（メモリ破損およびアプリケーションクラッシュ）を引き起こすことや、未知のベクトルを介して任意のコードを実行する可能性があります（CVE-2009-3982）。

3.0.16 以前と 3.5.6 以前の 3.5.x の Mozilla Firefox、および 2.0.1 以前の SeaMonkey では、リモートの攻撃者が、ブラウザユーザーの NTLM の認証情報をリプレイすることで、認証されたリクエストを任意のアプリケーションに送信することが可能です（CVE-2009-3983）。

3.0.16 より前の Mozilla Firefox、3.5.6 より前の Mozilla Firefox 3.5.x、2.0.1 より前の SeaMonkey により、リモートの攻撃者が、document.location を No Content（別名 204）ステータスコードと空の本文で応答するサイトに対応する https URL に設定することで、http URL またはファイル URL の SSL インジケーターを偽装することが可能です（CVE-2009-3984）。

3.0.16 より前の Mozilla Firefox、3.5.6 より前の Mozilla Firefox 3.5.x、2.0.1 より前の SeaMonkey により、リモートの攻撃者が、この URL に document.location を設定し、任意の Web スクリプトまたは HTML を関連する空白のドキュメントに書き込むことにより、偽装されたコンテンツを無効な URL と関連づけることが可能です。これは CVE-2009-2654 と関連している問題です（CVE-2009-3985）。

3.0.16 より前の Mozilla Firefox、3.5.6 より前の Mozilla Firefox 3.5.x、2.0.1 より前の SeaMonkey により、リモートの攻撃者が、コンテンツウィンドウからの chrome ウィンドウへの参照を利用することで、任意の JavaScript を chrome 権限で実行することが可能です。これは window.opener プロパティと関連しています（CVE-2009-3986）。

3.0.16 より前の Mozilla Firefox、3.5.6 より前の Mozilla Firefox 3.5.x、2.0.1 より前の SeaMonkey の GeckoActiveXObject 関数は、参照された COM オブジェクトがレジストリにリストされているかにより異なる例外メッセージを生成します。これにより、リモートの攻撃者が、異なる COM オブジェクトの ProgID の値を指定する複数の呼び出しを行うことで、インストールされたソフトウェアに関する潜在的な機密情報を入手することが可能です（CVE-2009-3987）。

さらに、そのために一部のパッケージを再ビルドして、更新として提供する必要があります。

リモートホストは、GLSA-201301-01 で説明されている脆弱性の影響を受けます（Mozilla 製品：複数の脆弱性）

Mozilla Firefox、Thunderbird、SeaMonkey、NSS、GNU IceCat、および XULRunner に、複数の脆弱性が発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

リモートの攻撃者が、ユーザーを誘導し、特別に細工された Web ページやメールを表示させることができた場合、任意のコードを実行したり、サービス拒否状態を発生させたりする可能性があります。さらに、リモートの攻撃者が中間者攻撃の実行、機密情報の取得、制限および保護メカニズムのバイパス、ファイルダウンロードの強制、XML インジェクション攻撃の実行、XSS 攻撃の実行、同一生成元ポリシーのバイパス、フィッシング攻撃のための URL の偽装、縦スクロールの誘発、ロケーションバーの偽装、SSL インジケーターの偽装、ブラウザのフォントの変更、クリックジャッキング攻撃の実行を引き起こしたり、またはその他の詳細不明な影響を与えたりする可能性があります。
 ローカルの攻撃者が、昇格された権限を取得したり、機密情報を取得したり、またはダウンロードされた任意のファイルを置き換えたりする可能性があります。
 回避策：

現時点で、既知の回避策はありません。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
43619	openSUSE セキュリティ更新：seamonkey（seamonkey-1738）	Nessus	SuSE Local Security Checks	2010/1/3	2021/1/14	high
48162	Mandriva Linux セキュリティアドバイザリ：firefox（MDVSA-2009:338）	Nessus	Mandriva Local Security Checks	2010/7/30	2021/1/6	high
63402	GLSA-201301-01：Mozilla 製品：複数の脆弱性（BEAST）	Nessus	Gentoo Local Security Checks	2013/1/8	2022/12/5	critical

検出

プラグインの検索

high

high

critical