Scientific Linux 安全性更新：SL4.x、SL5.x i386/x86_64 上的 firefox

high Nessus Plugin ID 60849

語系：

概要

遠端 Scientific Linux 主機缺少一個或多個安全性更新。

說明

處理格式有誤之網頁內容時發現多個瑕疵。包含惡意內容的網頁可造成 Firefox 損毀，或可能利用執行 Firefox 之使用者的權限來執行任意程式碼。(CVE-2010-3169、CVE-2010-2762)

在 Firefox 中發現數個釋放後使用瑕疵和懸置指標瑕疵。包含惡意內容的網頁可造成 Firefox 損毀，或可能利用執行 Firefox 之使用者的權限來執行任意程式碼。(CVE-2010-2760、CVE-2010-2766、CVE-2010-2767、CVE-2010-3167、CVE-2010-3168)

在 Firefox 中發現多個緩衝區溢位瑕疵。包含惡意內容的網頁可造成 Firefox 損毀，或可能利用執行 Firefox 之使用者的權限來執行任意程式碼。(CVE-2010-2765、CVE-2010-3166)

在 Firefox 中發現多個跨網站指令碼 (XSS) 瑕疵。包含惡意內容的網頁可導致 Firefox 利用其他網站的權限來執行 JavaScript 程式碼。
(CVE-2010-2768、CVE-2010-2769)

在 Firefox XMLHttpRequest 物件中發現一個瑕疵。遠端站台可利用此瑕疵來收集有關內部私用網路伺服器的資訊。(CVE-2010-2764)

注意：在安裝此更新後，如果伺服器的暫時金鑰太小，Firefox 將無法利用 SSL DHE (Diffie-Hellman Ephemeral) 金鑰交換連線 (具有 HTTPS) 至伺服器。連線至此類伺服器會造成安全性風險，因為太小的暫時金鑰會讓 SSL 連線容易受到攻擊。

如果您遇到 Firefox 無法連接暫時金鑰過小的伺服器之情形，可以嘗試在 Firefox 中停用所有 DHE 加密套件，然後以不同的金鑰交換演算法使用加密套件進行連接：

1) 在 URL 列中輸入 about:config，然後按下 Enter 鍵。2) 在 [篩選] 搜尋列中輸入 ssl3.dhe 3) 針對目前顯示的所有喜好設定，在 true 值上按滑鼠兩下，將值變更為 false。4) 此變更會影響所有 HTTPS 伺服器的連線。

安裝更新之後，Firefox 必須重新啟動，變更才會生效。