Összefoglaló
A Mozilla Firefox több sebezhetőségét jelentették, amiket kihasználva támadók bizonyos információkhoz juthatnak hozzá, cross-site scripting támadásokat indíthatnak, és föltörhetik a felhasználó rendszerét.
Leírás
A Mozilla Firefox több sebezhetőségét jelentették, amiket kihasználva támadók bizonyos információkhoz juthatnak hozzá, cross-site scripting támadásokat indíthatnak, és föltörhetik a felhasználó rendszerét.
- A rendező motor (layout engine) és a JavaScript motor különböző hibáit kihasználva memória hiba idézhető elő. Ez kártékony kód futtatását teheti lehetővé.
- Egy hibát kihasználva a CPU lebegőpontos műveleteinek pontosságának csökkenésekor, ez Windows rendszereken egy Direct3D-s beépülő modul betöltésekor bekövetkezhet, előfordulhat, hogy a “js_dtoa()” függvény kilépés helyett memória hibát okoz.
- Egy határhibát kihasználva, ha CSS segítségével állitják a kurzort egy windows bitmapre, halom túlcsordulás idézhető elő.
- Egy nem meghatározott hibát kihasználva a “watch()” JavaScript függvényben rosszindulatú kód futtatása lehetséges.
- A LiveConnectben található hiba lehetővé teszi, hogy egy már felszabadított objektumot használjanak. Így rosszindulatú kód is futtatható lehet.
- Egy keretbe betöltött IMG objektumok “src” tulajdonságának kezelesében lévő hibát kihasználva ez a tulajdonság megváltoztatható egy “javascript:” hivatkozásra. Ez rosszindulatú HTML és script kód futtatását teszi lehetővé a felhasználó böngészőjében.
- Az SVG komment objektumok kezelésekor jelentkező hiba miatt a memória tartalma megváltoztatható, így kártékony kód lefuttatására nyílik lehetőség SVG komment objektumok egyik dokumentumból másik típusúba történő csatolásakor.
- A Firefox 2.0 “Feed Review” szolgáltatása információkat szivárogtathat ki weboldalaknak a felhasználó hírcsatorna böngészési szokásairól a telepített, web alapú hírcsatorna-olvasók ikonjainak letöltésekor.
- Egy függvény prototípus regresszió a Firefox 2.0-ban kártékony html és script kód futtatását teszi lehetővé a felhasználó böngészőjében.
Megoldás
Frissítsen a legújabb verzióraTámadás típusa
Input manipulation (Bemenet módosítás)Other (Egyéb)
Unknown (Ismeretlen)
Hatás
Loss of availability (Elérhetőség elvesztése)Loss of confidentiality (Bizalmasság elvesztése)
Loss of integrity (Sértetlenség elvesztése)
Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
Gyártói referencia: www.mozilla.org
SECUNIA 23282
CVE-2006-6497 - NVD CVE-2006-6497
CVE-2006-6498 - NVD CVE-2006-6498
CVE-2006-6499 - NVD CVE-2006-6499
CVE-2006-6500 - NVD CVE-2006-6500
CVE-2006-6501 - NVD CVE-2006-6501
CVE-2006-6502 - NVD CVE-2006-6502
CVE-2006-6503 - NVD CVE-2006-6503
CVE-2006-6504 - NVD CVE-2006-6504
CVE-2006-6506 - NVD CVE-2006-6506
CVE-2006-6507 - NVD CVE-2006-6507