MiracleLinux 3xulrunner-1.9.0.10-1.1AXS3 (AXSA:2009-348:01)
medium Nessus Plugin ID 284144
語言:
概要
遠端 MiracleLinux 主機缺少一個或多個安全性更新。說明
遠端 MiracleLinux 3 主機已安裝一個受到 AXSA:2009-348:01 公告中所提及的多個弱點影響的套件。XULRunner 為 Gecko 應用程式提供 XUL 執行階段環境。
修正的錯誤：
CVE-2009-0771 在 3.0.7之前的 Mozilla Firefox、 2.0.0.21之前的 Thunderbird 以及 SeaMonkey 1.1.15 中的配置引擎允許遠端攻擊者透過會觸發記憶體損毀和宣告失敗的特定向量造成拒絕服務 (當機) 且可能執行任意程式碼。
CVE-2009-0772 在 3.0.7之前的 Mozilla Firefox 2 和 3、 2.0.0.21之前的 Thunderbird 以及 SeaMonkey 1.1.15 中配置引擎允許遠端攻擊者透過與 nsCSSStyleSheet::GetOwnerNode 相關的向量造成拒絕服務 (當機) 且可能執行任意程式碼。會觸發記憶體損毀。
CVE-2009-0773 在 3.0.7之前的 Mozilla Firefox、 2.0.0.21之前的 Thunderbird 以及 SeaMonkey 1.1.15 中JavaScript 引擎允許遠端攻擊者透過 (1) 包含某些non-set 元素造成 jsarray.cpp 傳送不正確的引數至 ResizeSlots 函式進而觸發記憶體損毀(2) 與 js_DecompileValueGenerator、jsopcode.cpp、__defineSetter__ 和 watch 相關的向量其會觸發宣告失敗或分割錯誤； (3) 與 gczeal、__defineSetter__ 和 watch 相關的向量其可觸發懸置。
CVE-2009-0774 在 3.0.7之前的 Mozilla Firefox 2 和 3、 2.0.0.21之前的 Thunderbird 以及 SeaMonkey 1.1.15 中配置引擎允許遠端攻擊者透過與 gczeal 相關的向量 (不同弱點) 造成拒絕服務 (當機) 且可能執行任意程式碼比 CVE-2009-0773。
CVE-2009-0775 之前的 Mozilla Firefox、 3.0.7之前的 Thunderbird、 2.0.0.21之前的 SeaMonkey 以及 1.1.15 之前的 SeaMonkey 中的重複釋放弱點允許遠端攻擊者透過複製為父項和子項的 XUL DOM 元素在進行記憶體處理時遭到不當處理從而執行任意程式碼集合。
CVE-2009-0776 在 3.0.7之前的 Mozilla Firefox、 2.0.0.21之前的 Thunderbird、 1.1.15 之前的 SeaMonkey 中的 nsIRDFService 允許遠端攻擊者透過跨網域重新導向繞過同源原則並從另一個網域讀取 XML 資料。
CVE-2009-0777 在 3.0.7之前的 Mozilla Firefox、 2.0.0.21之前的 Thunderbird以及 1.1.15 之前的 SeaMonkey 會在位置列中顯示隱藏字元時對其進行解碼這會造成顯示不正確的位址並使遠端攻擊者更容易偽造 URL並執行網路釣魚攻擊。
CVE-2009-1044 在 Windows 7 中Mozilla Firefox 3.0.7 中的不明弱點允許遠端攻擊者透過按一下連結觸發的未知向量執行任意程式碼CanSecWest 2009 中 PWN2OWN 競爭期間的 Nils 即為一例。
CVE-2009-1169 在 3.0.8 之前的 Mozilla Firefox 和 1.1.16 之前的 SeaMonkey 中txMozillaXSLTProcessor::TransformToDoc 函式允許遠端攻擊者透過具有特製 XSLT 轉換的 XML 檔案造成拒絕服務 (當機) 並可能執行任意程式碼。
CVE-2009-1302 在 Mozilla Firefox 3.x 之前的 3.0.9、Thunderbird 2.0.0.22之前的版本以及 SeaMonkey 之前的 1.1.16 中瀏覽器引擎允許遠端攻擊者透過與 (1) nsAsyncInstantiateEvent 相關的向量造成拒絕服務 (應用程式損毀) 且可能觸發記憶體損毀::Run、(2) nsStyleContext::Destroy、(3) nsComputedDOMStyle::GetWidth、(4) XSLT 樣式表編譯器的 xslt_attributeset_ImportSameName.html 測試案例、(5) nsXULDocument::SynchronizeBroadcastListener、(6) IsBindingAncestor、 (7 ) PL_DHashTableOperate 和 nsEditor::EndUpdateViewBatch以及 (8) gfxSkipCharsIterator::SetOffsets及其他向量。
CVE-2009-1303 在 3.0.9之前的 Mozilla Firefox、 2.0.0.22之前的 Thunderbird以及 1.1.16 之前的 SeaMonkey 中瀏覽器引擎允許遠端攻擊者透過與 nsSVGElement::BindToTree 相關的向量造成拒絕服務 (應用程式損毀) 且可能觸發記憶體損毀。
CVE-2009-1304 在 Mozilla Firefox 3.x 在 3.0.9之前的版本、Thunderbird 2.0.0.22之前的版本以及 SeaMonkey 1.1.16 之前的版本中JavaScript 引擎允許遠端攻擊者透過涉及 (1) js_FindPropertyHelper 的向量造成拒絕服務 (應用程式損毀) 且可能觸發記憶體損毀。與「數學」和「日期」的定義相關；和 (2) js_CheckRedeclaration。
CVE-2009-1305 在 3.0.9之前的 Mozilla Firefox、 2.0.0.22之前的 Thunderbird以及 1.1.16 之前的 SeaMonkey 中JavaScript 引擎允許遠端攻擊者透過涉及 JSOP_DEFVAR 的向量和缺少 JSPROP_PERMANENT 的內容造成拒絕服務 (應用程式損毀) 並可能觸發記憶體損毀。屬性。
CVE-2009-1306 在 3.0.9之前的 Mozilla Firefox、Thunderbird 和 SeaMonkey 中jarURI 實作未遵循內部 URI 的 Content-Disposition 標頭其允許遠端攻擊者透過透過上傳的 .jar 檔案具有 Content-Disposition
附件指定。
CVE-2009-13073.0.9之前的 Mozilla Firefox、Thunderbird 和 SeaMonkey 中的 view-source: URI 實作未正確實作同源原則其允許遠端攻擊者 (1) 繞過 crossdomain.xml 限制並透過Flash 檔案(2) 透過 Flash 檔案讀取、建立或修改本機共用物件(3) 透過涉及 jar: URI 的向量繞過不明限制並轉譯內容。
CVE-2009-1308 在 3.0.9之前的 Mozilla Firefox、Thunderbird 和 SeaMonkey 中跨網站指令碼 (XSS) 弱點允許遠端攻擊者透過涉及 XBL JavaScript 系結和遠端樣式表的向量插入任意 Web 指令碼或 HTML2009 年 3 月ebay 清單。
CVE-2009-13093.0.9之前的 Mozilla Firefox、Thunderbird 和 SeaMonkey 並未針對 (1) XMLHttpRequest (涉及文件主體不相符) 以及 (2) XPCNativeWrapper.toString (涉及不正確的 __proto__ 範圍) 正確實作同源原則這會允許攻擊者可藉此透過特製文件發動跨網站指令碼 (XSS) 攻擊且可能發動其他攻擊。
CVE-2009-1310 在 3.0.9 之前的 Mozilla Firefox 中MozSearch 外掛程式實作內的跨網站指令碼 (XSS) 弱點允許使用者協助的遠端攻擊者透過 SearchForm 元素中的 javascript: URI 插入任意 Web 指令碼或 HTML。
CVE-2009-1311 在 3.0.9 之前的 Mozilla Firefox 和 1.1.17 之前的 SeaMonkey 允許使用者協助的遠端攻擊者透過具有內嵌框架的網頁取得敏感資訊這會造成在執行 SAVEMODE_FILEONLY 期間外部頁面的 POST 資料傳送至內部框架的 URL。儲存內部框架。
CVE-2009-13123.0.9 之前的 Mozilla Firefox 和 SeaMonkey 未封鎖 javascript: HTTP 回應之 Refresh 標頭中的 URI這允許遠端攻擊者透過與 (1) 插入 Refresh 標頭或 (2 ) 指定 Refresh 標頭的內容。注意據後來報告Mozilla 1.7.x 和更舊版本也受到影響。
CVE-2009-1313 在 Mozilla Firefox 3.0.9 的 layout/generic/nsTextFrameThebes.cpp 中nsTextFrame::ClearTextRun 函式 [] 允許遠端攻擊者透過不明向量造成拒絕服務 (記憶體損毀)且可能執行任意程式碼。注意據報此弱點之所以存在是因為 CVE-2009-1302的修正不正確。
Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
更新受影響的 xulrunner 套件。另請參閱
Plugin 詳細資訊
嚴重性: Medium
ID: 284144
檔案名稱: miracle_linux_AXSA-2009-348.nasl
版本: 1.1
類型: local
已發布: 2026/1/14
已更新: 2026/1/14
支援的感應器: Nessus Agent, Nessus
風險資訊
VPR
風險因素: Medium
分數: 6.7
Vendor
Vendor Severity: High
CVSS v2
風險因素: Critical
基本分數: 10
時間性分數: 8.7
媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS 評分資料來源: CVE-2009-0775
CVSS v3
風險因素: Medium
基本分數: 6.1
時間性分數: 5.8
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
時間媒介: CVSS:3.0/E:H/RL:O/RC:C
CVSS 評分資料來源: CVE-2009-1308
弱點資訊
CPE: cpe:/o:miracle:linux:3, p-cpe:/a:miracle:linux:xulrunner
必要的 KB 項目: Host/local_checks_enabled, Host/cpu, Host/MiracleLinux/release, Host/MiracleLinux/rpm-list
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2009/8/4
弱點發布日期: 2009/3/4
參考資訊
CVE: CVE-2009-0771, CVE-2009-0772, CVE-2009-0773, CVE-2009-0774, CVE-2009-0775, CVE-2009-0776, CVE-2009-0777, CVE-2009-1044, CVE-2009-1169, CVE-2009-1302, CVE-2009-1303, CVE-2009-1304, CVE-2009-1305, CVE-2009-1306, CVE-2009-1307, CVE-2009-1308, CVE-2009-1309, CVE-2009-1310, CVE-2009-1311, CVE-2009-1312