Mandriva Linux 安全性公告：mozilla-thunderbird (MDVSA-2011:140)
critical Nessus Plugin ID 56374
語系：
概要
遠端 Mandriva Linux 主機缺少一或多個安全性更新。說明
在 mozilla firefox 和 thunderbird 中發現安全性問題，且已修正：3.6.23 版之前及 4.x 至 6 版的 Mozilla Firefox、 7.0 版之前的 Thunderbird 以及 2.4 版之前的 SeaMonkey 都無法阻止當按住 Enter 鍵時回應的啟動下載，導致使用者協助的遠端攻擊者利用特製的網站來繞過預定的存取限制 (CVE-2011-2372)。
3.6.23 版之前及 4.x 到 6 版的 Mozilla Firefox、 7.0 版之前的 Thunderbird 以及 2.4 版之前的 SeaMonkey 等瀏覽器引擎中存在多個不明弱點，允許遠端攻擊者造成拒絕服務 (記憶體損毀及應用程式損毀)，或可能透過不明向量執行任意程式碼 (CVE-2011-2995)。
3.6.23 版之前的 3.6.x 版 Mozilla Firefox 外掛程式 API 中存在不明弱點，允許遠端攻擊者造成拒絕服務 (記憶體損毀及應用程式損毀)，或可能透過不明向量執行任意程式碼 (CVE-2011-2996)。
3.6.23 版之前和 4.x 到 5 版的 Mozilla Firefox、 6.0 版之前的 Thunderbird 以及 2.3 版之前的 SeaMonkey 都未正確按照框架名稱來處理位置，允許遠端攻擊者經由特製的網站繞過同源原則，此弱點不同於 CVE-2010-0170 (CVE-2011-2999)。
3.6.23 版之前及 4.x 至 6 版的 Mozilla Firefox、 7.0 版之前的 Thunderbird 以及 2.4 版之前的 SeaMonkey 都未正確處理包含多個 Location、Content-Length 或 Content-Disposition 標頭的 HTTP 回應，會讓遠端攻擊者更容易利用特製的標頭值來發動 HTTP 回應分割攻擊 (CVE-2011-3000)。
4.x 至 6 版的 Mozilla Firefox、7.0 版之前的 Thunderbird 以及 2.4 版之前的 SeaMonkey 都無法阻止當按住 Enter 鍵時回應的手動附加元件安裝，這會讓使用者協助的遠端攻擊者利用特製的網站來觸發不明的內部錯誤，而繞過預定的存取限制 (CVE-2011-3001)。
3.6.23 版之前的 3.6.x 版 Mozilla Firefox 中存在整數反向溢位，允許遠端攻擊者造成拒絕服務 (應用程式損毀)，或可能利用含有大量 RegExp 運算式的 JavaScript 程式碼來執行任意程式碼 (CVE-2011-3867)。
適用於 2009.0 的套件會隨著「延長維護計畫」提供。如需深入瞭解，請造訪這個連結：
http://store.mandriva.com/product_info.php?cPath=149 products_id=490
此外，需要這麼做的部分套件已經重建，並以更新的方式提供。
解決方案
更新受影響的套件。另請參閱
http://www.mozilla.org/security/announce/2011/mfsa2011-36.html
http://www.mozilla.org/security/announce/2011/mfsa2011-38.html
http://www.mozilla.org/security/announce/2011/mfsa2011-39.html
http://www.mozilla.org/security/announce/2011/mfsa2011-40.html
Plugin 詳細資訊
嚴重性: Critical
ID: 56374
檔案名稱: mandriva_MDVSA-2011-140.nasl
版本: 1.13
類型: local
已發布: 2011/10/3
已更新: 2021/1/6
支援的感應器: Nessus
風險資訊
VPR
風險因素: Medium
分數: 5.9
CVSS v2
風險因素: Critical
基本分數: 10
時間分數: 8.7
媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
弱點資訊
CPE: p-cpe:/a:mandriva:linux:mozilla-thunderbird, p-cpe:/a:mandriva:linux:mozilla-thunderbird-af, p-cpe:/a:mandriva:linux:mozilla-thunderbird-ar, p-cpe:/a:mandriva:linux:mozilla-thunderbird-be, p-cpe:/a:mandriva:linux:mozilla-thunderbird-beagle, p-cpe:/a:mandriva:linux:mozilla-thunderbird-enigmail-fi, p-cpe:/a:mandriva:linux:mozilla-thunderbird-enigmail-fr, p-cpe:/a:mandriva:linux:mozilla-thunderbird-enigmail-hu, p-cpe:/a:mandriva:linux:mozilla-thunderbird-enigmail-it, p-cpe:/a:mandriva:linux:mozilla-thunderbird-enigmail-ja, p-cpe:/a:mandriva:linux:mozilla-thunderbird-bg, p-cpe:/a:mandriva:linux:mozilla-thunderbird-bn_bd, p-cpe:/a:mandriva:linux:mozilla-thunderbird-ca, p-cpe:/a:mandriva:linux:mozilla-thunderbird-cs, p-cpe:/a:mandriva:linux:mozilla-thunderbird-da, p-cpe:/a:mandriva:linux:mozilla-thunderbird-de, p-cpe:/a:mandriva:linux:mozilla-thunderbird-el, p-cpe:/a:mandriva:linux:mozilla-thunderbird-en_gb, p-cpe:/a:mandriva:linux:mozilla-thunderbird-enigmail, p-cpe:/a:mandriva:linux:mozilla-thunderbird-enigmail-ar, p-cpe:/a:mandriva:linux:mozilla-thunderbird-enigmail-ko, p-cpe:/a:mandriva:linux:mozilla-thunderbird-enigmail-nb, p-cpe:/a:mandriva:linux:mozilla-thunderbird-enigmail-nl, p-cpe:/a:mandriva:linux:mozilla-thunderbird-enigmail-pl, p-cpe:/a:mandriva:linux:mozilla-thunderbird-enigmail-pt, p-cpe:/a:mandriva:linux:mozilla-thunderbird-enigmail-pt_br, p-cpe:/a:mandriva:linux:mozilla-thunderbird-enigmail-ru, p-cpe:/a:mandriva:linux:mozilla-thunderbird-enigmail-sl, p-cpe:/a:mandriva:linux:mozilla-thunderbird-enigmail-sv, p-cpe:/a:mandriva:linux:mozilla-thunderbird-enigmail-tr, p-cpe:/a:mandriva:linux:mozilla-thunderbird-enigmail-vi, p-cpe:/a:mandriva:linux:mozilla-thunderbird-enigmail-zh_cn, p-cpe:/a:mandriva:linux:mozilla-thunderbird-enigmail-zh_tw, p-cpe:/a:mandriva:linux:mozilla-thunderbird-es_ar, p-cpe:/a:mandriva:linux:mozilla-thunderbird-es_es, p-cpe:/a:mandriva:linux:mozilla-thunderbird-et, p-cpe:/a:mandriva:linux:mozilla-thunderbird-et_ee, p-cpe:/a:mandriva:linux:mozilla-thunderbird-eu, p-cpe:/a:mandriva:linux:mozilla-thunderbird-fi, p-cpe:/a:mandriva:linux:mozilla-thunderbird-fr, p-cpe:/a:mandriva:linux:mozilla-thunderbird-fy, p-cpe:/a:mandriva:linux:mozilla-thunderbird-ga, p-cpe:/a:mandriva:linux:mozilla-thunderbird-gd, p-cpe:/a:mandriva:linux:mozilla-thunderbird-gl, p-cpe:/a:mandriva:linux:mozilla-thunderbird-he, p-cpe:/a:mandriva:linux:mozilla-thunderbird-hu, p-cpe:/a:mandriva:linux:mozilla-thunderbird-id, p-cpe:/a:mandriva:linux:mozilla-thunderbird-is, p-cpe:/a:mandriva:linux:mozilla-thunderbird-it, p-cpe:/a:mandriva:linux:mozilla-thunderbird-ja, p-cpe:/a:mandriva:linux:mozilla-thunderbird-ka, p-cpe:/a:mandriva:linux:mozilla-thunderbird-enigmail-ca, p-cpe:/a:mandriva:linux:mozilla-thunderbird-enigmail-cs, p-cpe:/a:mandriva:linux:mozilla-thunderbird-enigmail-de, p-cpe:/a:mandriva:linux:mozilla-thunderbird-enigmail-el, p-cpe:/a:mandriva:linux:mozilla-thunderbird-enigmail-es, p-cpe:/a:mandriva:linux:mozilla-thunderbird-ko, p-cpe:/a:mandriva:linux:mozilla-thunderbird-lightning, p-cpe:/a:mandriva:linux:mozilla-thunderbird-lt, p-cpe:/a:mandriva:linux:mozilla-thunderbird-nb_no, p-cpe:/a:mandriva:linux:mozilla-thunderbird-nl, p-cpe:/a:mandriva:linux:mozilla-thunderbird-nn_no, p-cpe:/a:mandriva:linux:mozilla-thunderbird-pa_in, p-cpe:/a:mandriva:linux:mozilla-thunderbird-pl, p-cpe:/a:mandriva:linux:mozilla-thunderbird-pt_br, p-cpe:/a:mandriva:linux:mozilla-thunderbird-pt_pt, p-cpe:/a:mandriva:linux:mozilla-thunderbird-ro, p-cpe:/a:mandriva:linux:mozilla-thunderbird-ru, p-cpe:/a:mandriva:linux:mozilla-thunderbird-si, p-cpe:/a:mandriva:linux:mozilla-thunderbird-sk, p-cpe:/a:mandriva:linux:mozilla-thunderbird-sl, p-cpe:/a:mandriva:linux:mozilla-thunderbird-sq, p-cpe:/a:mandriva:linux:mozilla-thunderbird-sr, p-cpe:/a:mandriva:linux:mozilla-thunderbird-sv_se, p-cpe:/a:mandriva:linux:mozilla-thunderbird-tr, p-cpe:/a:mandriva:linux:mozilla-thunderbird-uk, p-cpe:/a:mandriva:linux:mozilla-thunderbird-vi, p-cpe:/a:mandriva:linux:mozilla-thunderbird-zh_cn, p-cpe:/a:mandriva:linux:mozilla-thunderbird-zh_tw, p-cpe:/a:mandriva:linux:nsinstall, cpe:/o:mandriva:linux:2009.0, cpe:/o:mandriva:linux:2010.1
必要的 KB 項目: Host/local_checks_enabled, Host/cpu, Host/Mandrake/release, Host/Mandrake/rpm-list
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2011/10/1
參考資訊
CVE: CVE-2011-2372, CVE-2011-2995, CVE-2011-2996, CVE-2011-2998, CVE-2011-2999, CVE-2011-3000, CVE-2011-3001
MDVSA: 2011:140