Összefoglaló
A Mozilla Firefox több sérülékenységét jelentették, melyet kihasználva rosszindulatú támadók megkerülhetnek egyes biztonsági korlátokat, érzékeny információkhoz juthatnak, vagy feltörhetik a felhasználó rendszerét.
Leírás
A Mozilla Firefox több sérülékenységét jelentették, melyet kihasználva rosszindulatú támadók megkerülhetnek egyes biztonsági korlátokat, érzékeny információkhoz juthatnak, vagy feltörhetik a felhasználó rendszerét.
- Egy hibát kihasználva a JavaScript mozgatás és átméretezés funkcionalitásában, elérhető, hogy a felhasználó más gombra kattintson, mint szeretne, és pl. letöltsön egy kártékony fájlt.
- Több hiba kihasználható az “XPCNativeWrappers” beszennyezésére és tetszőleges script kód futtatására Chrome jogosultsággal.
- Több hiba az “XSLT”-ben és a “document.loadBindingDocument()” függvényben a dokumentumok készítésekor, kihasználható tetszőleges script kód futtatására Chrome jogosultsággal.
- Több hiba az elrendező és a JavaScript motorban, kihasználható a memóriatartalom megváltoztatására.
- Két hiba a kép megjelenítés megvalósításában kihasználható összeomlás okozására.
- Egy hiba a grafika megjelenítő motorban kihasználható összeomlás okozására
- Egy hiba a JavaScript kódban található BOM karakterek feldolgozásában kihasználható lehet a script szűrők megkerülésére, ezzel elősegítve egy esetleges cross-site scripting támadást.
- A “resource:” protokoll megvalósításának több hibája kihasználható könyvtár bejárásos támadás végrehajtásához és érzékeny információk megszerzéséhez.
- egy nem natív objektum zárolásakor fellépő hibát kihasználva lefagyasztható a program és tetszőleges kód futtatható, ha egy weboldal a “window.__proto__.__proto__” objektumnak speciális értéket ad.
A 4.-6. pontig feltüntetett sérülékenységek sikeres kihasználása estén tetszőleges kód futtatása lehetséges.
A sérülékenységeket a 3.0.2-es verziót megelőzőekben jelentették.
Megoldás
Frissítsen a legújabb verzióraTámadás típusa
Information disclosure (Információ/adat szivárgás)Input manipulation (Bemenet módosítás)
Misconfiguration (Konfiguráció)
Other (Egyéb)
Hatás
Loss of availability (Elérhetőség elvesztése)Loss of confidentiality (Bizalmasság elvesztése)
Loss of integrity (Sértetlenség elvesztése)
Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
CVE-2008-4068 - NVD CVE-2008-4068
CVE-2008-4067 - NVD CVE-2008-4067
CVE-2008-4065 - NVD CVE-2008-4065
CVE-2008-4064 - NVD CVE-2008-4064
CVE-2008-4062 - NVD CVE-2008-4062
CVE-2008-4063 - NVD CVE-2008-4063
Gyártói referencia: www.mozilla.org
Gyártói referencia: www.mozilla.org
Gyártói referencia: www.mozilla.org
Gyártói referencia: www.mozilla.org
Gyártói referencia: www.mozilla.org
CVE-2008-4058 - NVD CVE-2008-4058
CVE-2008-3837 - NVD CVE-2008-3837
CVE-2008-4061 - NVD CVE-2008-4061
CVE-2008-4060 - NVD CVE-2008-4060
SECUNIA 32011
CVE-2008-5014 - NVD CVE-2008-5014
Gyártói referencia: www.mozilla.org
