Scientific Linux 安全性更新:SL4.x、SL5.x、SL6.x i386/x86_64 上的 firefox

critical Nessus Plugin ID 61143
新推出!弱點優先順序評分 (VPR)

Tenable 會為每個弱點計算動態 VPR。VPR 將弱點資訊與威脅情報和機器學習演算法加以結合,藉此預測攻擊者最有可能利用哪些弱點發動攻擊。查看詳細資訊: VPR 是什麼?它跟 CVSS 有何不同?

VPR 評分: 5.9

Synopsis

遠端 Scientific Linux 主機缺少一個或多個安全性更新。

描述

Mozilla Firefox 是開放原始碼的網頁瀏覽器。XULRunner 為 Mozilla Firefox 提供 XUL 執行階段環境。

處理格式有誤之網頁內容時發現多個瑕疵。包含惡意內容的網頁可造成 Firefox 損毀,或可能利用執行 Firefox 之使用者的權限來執行任意程式碼。(CVE-2011-2995)

在 Firefox 處理「Enter」按鍵事件的方式中發現一個瑕疵。惡意網頁可在該按鍵按下時出現下載對話方塊,啟動預設的「Open」動作。遠端攻擊者可利用此弱點,造成瀏覽器開啟惡意 web 內容。(CVE-2011-2372)

在 Firefox 處理重新導向回應中 Location 標頭的方式中發現一個瑕疵。這個標頭的兩個複本具有不同值,可能是易受攻擊的伺服器遭到 CRLF 插入攻擊的徵兆。Firefox 現在會將 Location、Content-Length、或 Content-Disposition 標頭的兩個複本當作錯誤情況來處理。(CVE-2011-3000)

在 Firefox 處理使用特定名稱的框架物件方式中發現一個瑕疵。攻擊者可利用這個瑕疵,造成外掛程式將其內容存取權授與另一個網站或是本機檔案系統,導致同源原則違規。(CVE-2011-2999)

在 Firefox 處理大量 JavaScript 規則運算式的方式中發現一個整數反向溢位瑕疵。包含惡意 JavaScript 的網頁可造成 Firefox 存取已釋放的記憶體,導致 Firefox 損毀,或可能以執行 Firefox 之使用者的權限執行任意程式碼。(CVE-2011-2998)

如需這些瑕疵的詳細技術資訊,請參閱 Firefox 3.6.23 的 Mozilla 安全性公告。您可在此錯字勘誤表的<參照>一節中找到 Mozilla 公告的連結。

所有 Firefox 使用者應升級至這些更新版套件,其中包含可更正這些問題的 Firefox 版本 3.6.23。安裝更新之後,Firefox 必須重新啟動,變更才會生效。

解決方案

更新受影響的套件。

另請參閱

http://www.nessus.org/u?08ba6b45

Plugin 詳細資訊

嚴重性: Critical

ID: 61143

檔案名稱: sl_20110928_firefox_on_SL4_x.nasl

版本: 1.5

類型: local

代理程式: unix

已發布: 2012/8/1

已更新: 2021/1/14

相依性: ssh_get_info.nasl

風險資訊

風險因素: Critical

VPR 評分: 5.9

CVSS v2.0

基本分數: 10

媒介: AV:N/AC:L/Au:N/C:C/I:C/A:C

弱點資訊

CPE: x-cpe:/o:fermilab:scientific_linux

必要的 KB 項目: Host/local_checks_enabled, Host/cpu, Host/RedHat/release, Host/RedHat/rpm-list

修補程式發佈日期: 2011/9/28

參考資訊

CVE: CVE-2011-2372, CVE-2011-2995, CVE-2011-2998, CVE-2011-2999, CVE-2011-3000