SuSE 10 安全性更新：Mozilla Firefox (ZYPP 修補程式編號 8348)

medium Nessus Plugin ID 62780

語系：

概要

遠端 SuSE 10 主機缺少安全性相關修補程式。

說明

MozillaFirefox 已更新至 10.0.10ESR 安全性版本。

已修正下列問題：

- Mozilla 已修正與 Location 物件相關的一些問題，以便增強整體安全性。
目前修正的每個問題的詳細資訊如下。
(MFSA 2012-90)

只有透過 RSS 摘要和載入 web 內容的延伸模組，Thunderbird 才會受到 window.location 問題的影響。

- 安全性研究人員 Mariusz Mlynski 報告，透過使用 valueOf 方法，可用使用者內容遮蔽 window.location 的 true 值，這可以結合某些外掛程式而對使用者執行跨網站指令碼 (XSS) 攻擊。(CVE-2012-4194)

- Mozilla 安全性研究人員 moz_bug_r_a4 發現，可以強制 window.location 中的 CheckURL 函式傳回錯誤的呼叫文件和主體，進而允許跨網站指令碼 (XSS) 攻擊。如果攻擊者可以利用與網站內容互動的附加元件，那麼也可能執行任意程式碼。(CVE-2012-4195)

- 巴黎 INRIA 的 PROSECCO 研究團隊的安全性研究人員 Antoine Delignat-Lavaud 報告，能夠藉由原型而使用內容插入，以繞過 Location 物件上的安全性包裝函式保護，進而允許 Location 物件的跨來源讀取。(CVE-2012-4196)