Red Hat セキュリティアドバイザリ 2009:1095 から：

複数のセキュリティ上の問題を修正する更新済みの firefox パッケージが、 Red Hat Enterprise Linux 4 および 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティインパクトがあるものとして評価しています。

Mozilla Firefox はオープンソースの Web ブラウザです。XULRunner は、Mozilla Firefox 用の XUL Runtime 環境を提供しています。

不正な形式の Web コンテンツの処理に様々な欠陥が見つかりました。悪意のあるコンテンツが含まれる Web ページは Firefox をクラッシュさせたり、 Firefox を実行しているユーザーとして任意のコードを実行する可能性があります。
（CVE-2009-1392、 CVE-2009-1832、CVE-2009-1833、CVE-2009-1837、 CVE-2009-1838、CVE-2009-1841）

無効な形式のローカルファイルのコンテンツの処理に、複数の欠陥が見つかりました。file:// の URL を介して、ユーザーが悪意のあるローカルコンテンツを読み込んだ場合、そのコンテンツが他のローカルデータにアクセスすることが可能でした。
（CVE-2009-1835、 CVE-2009-1839）

Firefox が XML User Interface Language（XUL）スクリプトを読み込む方法に、スクリプトによる権限昇格の欠陥が見つかりました。Firefox および特定のアドオンで、特定のポリシーチェックが行われない場合に悪意のあるコンテンツが読み込まれる可能性があります。(CVE-2009-1840)

Firefox の国際化ドメイン名（IDN）で特定の Unicode の文字を表示する方法に、欠陥が見つかりました。IDN に無効な文字が含まれている場合、ユーザーに信頼できるサイトを訪問していると判断してもらうために、無効な文字はスペースとして表示された可能性があります。
(CVE-2009-1834)

Firefox でプロキシサーバーからのエラー応答を処理する方法に、欠陥が見つかりました。攻撃者がプロキシサーバーを使用している Firefox インスタンスに対して中間者攻撃を行うことができる場合、攻撃者はユーザーが訪問しているサイトから機密情報を盗み取ることができる可能性があります。(CVE-2009-1836)

これらの欠陥の技術的な詳細については、Firefox 3.0.11 向けの Mozilla セキュリティアドバイザリを参照してください。Mozilla アドバイザリへのリンクは、このエラータの参照セクションにあります。

すべての Firefox ユーザーは、これらの問題を修正する Firefox バ―ジョン 3.0.11 を含む、更新済みのこれらのパッケージにアップグレードする必要があります。更新をインストールした後、変更した内容を反映させるには Firefox を再起動する必要があります。

Updated firefox packages that fix several security issues are now available for Red Hat Enterprise Linux 4 and 5.

This update has been rated as having critical security impact by the Red Hat Security Response Team.

Mozilla Firefox is an open source Web browser. XULRunner provides the XUL Runtime environment for Mozilla Firefox.

Several flaws were found in the processing of malformed web content. A web page containing malicious content could cause Firefox to crash or, potentially, execute arbitrary code as the user running Firefox.
(CVE-2009-1392, CVE-2009-1832, CVE-2009-1833, CVE-2009-1837, CVE-2009-1838, CVE-2009-1841)

Multiple flaws were found in the processing of malformed, local file content. If a user loaded malicious, local content via the file:// URL, it was possible for that content to access other local data.
(CVE-2009-1835, CVE-2009-1839)

A script, privilege elevation flaw was found in the way Firefox loaded XML User Interface Language (XUL) scripts. Firefox and certain add-ons could load malicious content when certain policy checks did not happen. (CVE-2009-1840)

A flaw was found in the way Firefox displayed certain Unicode characters in International Domain Names (IDN). If an IDN contained invalid characters, they may have been displayed as spaces, making it appear to the user that they were visiting a trusted site.
(CVE-2009-1834)

A flaw was found in the way Firefox handled error responses returned from proxy servers. If an attacker is able to conduct a man-in-the-middle attack against a Firefox instance that is using a proxy server, they may be able to steal sensitive information from the site the user is visiting. (CVE-2009-1836)

For technical details regarding these flaws, refer to the Mozilla security advisories for Firefox 3.0.11. You can find a link to the Mozilla advisories in the References section of this errata.

All Firefox users should upgrade to these updated packages, which contain Firefox version 3.0.11, which corrects these issues. After installing the update, Firefox must be restarted for the changes to take effect.

複数のセキュリティ上の問題を修正する更新済みの firefox パッケージが、 Red Hat Enterprise Linux 4 および 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティインパクトがあるものとして評価しています。

Mozilla Firefox はオープンソースの Web ブラウザです。XULRunner は、Mozilla Firefox 用の XUL Runtime 環境を提供しています。

不正な形式の Web コンテンツの処理に様々な欠陥が見つかりました。悪意のあるコンテンツが含まれる Web ページは Firefox をクラッシュさせたり、 Firefox を実行しているユーザーとして任意のコードを実行する可能性があります。
（CVE-2009-1392、 CVE-2009-1832、CVE-2009-1833、CVE-2009-1837、 CVE-2009-1838、CVE-2009-1841）

無効な形式のローカルファイルのコンテンツの処理に、複数の欠陥が見つかりました。file:// の URL を介して、ユーザーが悪意のあるローカルコンテンツを読み込んだ場合、そのコンテンツが他のローカルデータにアクセスすることが可能でした。
（CVE-2009-1835、CVE-2009-1839）

Firefox が XML User Interface Language（XUL）スクリプトを読み込む方法に、スクリプトによる権限昇格の欠陥が見つかりました。Firefox および特定のアドオンで、特定のポリシーチェックが行われない場合に悪意のあるコンテンツが読み込まれる可能性があります。（CVE-2009-1840）

Firefox の国際化ドメイン名（IDN）で特定の Unicode の文字を表示する方法に、欠陥が見つかりました。IDN に無効な文字が含まれている場合、ユーザーに信頼できるサイトを訪問していると判断してもらうために、無効な文字はスペースとして表示された可能性があります。
（CVE-2009-1834）

Firefox でプロキシサーバーからのエラー応答を処理する方法に、欠陥が見つかりました。攻撃者がプロキシサーバーを使用している Firefox インスタンスに対して中間者攻撃を行うことができる場合、攻撃者はユーザーが訪問しているサイトから機密情報を盗み取ることができる可能性があります。（CVE-2009-1836）

これらの欠陥の技術的な詳細については、Firefox 3.0.11 向けの Mozilla セキュリティアドバイザリを参照してください。Mozilla アドバイザリへのリンクは、このエラータの参照セクションにあります。

すべての Firefox ユーザーは、これらの問題を修正する Firefox バ―ジョン 3.0.11 を含む、更新済みのこれらのパッケージにアップグレードする必要があります。更新をインストールした後、変更した内容を反映させるには Firefox を再起動する必要があります。

Security vulnerabilities have been discovered and corrected in Mozilla Firefox 3.x :

CVE-2009-1392: Firefox browser engine crashes CVE-2009-1832: Firefox double frame construction flaw CVE-2009-1833: Firefox JavaScript engine crashes CVE-2009-1834: Firefox URL spoofing with invalid unicode characters CVE-2009-1835: Firefox Arbitrary domain cookie access by local file: resources CVE-2009-1836: Firefox SSL tampering via non-200 responses to proxy CONNECT requests CVE-2009-1837: Firefox Race condition while accessing the private data of a NPObject JS wrapper class object CVE-2009-1838: Firefox arbitrary code execution flaw CVE-2009-1839: Firefox information disclosure flaw CVE-2009-1840:
Firefox XUL scripts skip some security checks CVE-2009-1841: Firefox JavaScript arbitrary code execution CVE-2009-2043: firefox - remote TinyMCE denial of service CVE-2009-2044: firefox - remote GIF denial of service CVE-2009-2061: firefox - man-in-the-middle exploit CVE-2009-2065: firefox - man-in-the-middle exploit

This update provides the latest Mozilla Firefox 3.x to correct these issues.

Additionally, some packages which require so, have been rebuilt and are being provided as updates.

From Red Hat Security Advisory 2009:1095 :

Updated firefox packages that fix several security issues are now available for Red Hat Enterprise Linux 4 and 5.

This update has been rated as having critical security impact by the Red Hat Security Response Team.

Mozilla Firefox is an open source Web browser. XULRunner provides the XUL Runtime environment for Mozilla Firefox.

Several flaws were found in the processing of malformed web content. A web page containing malicious content could cause Firefox to crash or, potentially, execute arbitrary code as the user running Firefox.
(CVE-2009-1392, CVE-2009-1832, CVE-2009-1833, CVE-2009-1837, CVE-2009-1838, CVE-2009-1841)

Multiple flaws were found in the processing of malformed, local file content. If a user loaded malicious, local content via the file:// URL, it was possible for that content to access other local data.
(CVE-2009-1835, CVE-2009-1839)

A script, privilege elevation flaw was found in the way Firefox loaded XML User Interface Language (XUL) scripts. Firefox and certain add-ons could load malicious content when certain policy checks did not happen. (CVE-2009-1840)

A flaw was found in the way Firefox displayed certain Unicode characters in International Domain Names (IDN). If an IDN contained invalid characters, they may have been displayed as spaces, making it appear to the user that they were visiting a trusted site.
(CVE-2009-1834)

A flaw was found in the way Firefox handled error responses returned from proxy servers. If an attacker is able to conduct a man-in-the-middle attack against a Firefox instance that is using a proxy server, they may be able to steal sensitive information from the site the user is visiting. (CVE-2009-1836)

For technical details regarding these flaws, refer to the Mozilla security advisories for Firefox 3.0.11. You can find a link to the Mozilla advisories in the References section of this errata.

All Firefox users should upgrade to these updated packages, which contain Firefox version 3.0.11, which corrects these issues. After installing the update, Firefox must be restarted for the changes to take effect.

來自 Red Hat 安全性公告 2009:1095：

現已提供適用於 Red Hat Enterprise Linux 4 與 5 的更新版 firefox 套件，可修正數個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重大安全性影響。

Mozilla Firefox 是開放原始碼的網頁瀏覽器。XULRunner 為 Mozilla Firefox 提供 XUL 執行階段環境。

處理格式有誤之網頁內容時發現多個瑕疵。包含惡意內容的網頁可導致 Firefox 當機，或可能以執行 Firefox 的使用者身分執行任意程式碼。
(CVE-2009-1392、CVE-2009-1832、CVE-2009-1833、CVE-2009-1837、CVE-2009-1838、CVE-2009-1841)

處理格式有誤的本機檔案內容時發現多個瑕疵。若使用者透過 file:// URL 載入惡意本機內容，該內容可能會存取其他本機資料。
(CVE-2009-1835、CVE-2009-1839)

在 Firefox 載入 XML 使用者介面語言 (XUL) 指令碼的方式中發現指令碼權限提升瑕疵。Firefox 與某些附加元件可在並未發生某些原則檢查時載入惡意內容。(CVE-2009-1840)

在 Firefox 於「國際網域名稱」(IDN) 中顯示某些 Unicode 字元的方式中發現瑕疵。如果 IDN 包含無效字元，它們可能已顯示為空格，從而使其顯示給使用者時就像是造訪受信任的網站一樣。
(CVE-2009-1834)

在 Firefox 處理從 Proxy 伺服器傳回之錯誤回應的方式中發現瑕疵。如果攻擊者能夠針對使用 Proxy 伺服器的 Firefox 執行個體執行攔截式攻擊，他們或許能夠從使用者正在造訪的網站竊取敏感資訊。(CVE-2009-1836)

如需這些瑕疵的詳細技術資訊，請參閱 Firefox 3.0.11 的 Mozilla 安全性公告。您可在本錯字勘誤表的 <參照>一節中尋找 Mozilla 公告的連結。

所有 Firefox 使用者應升級至這些更新版套件，其中包含可更正這些問題的 Firefox 版本 3.0.11。安裝更新之後，Firefox 必須重新啟動，變更才會生效。

来自 Red Hat 安全公告 2009:1095：

更新后的 firefox 程序包修复了多个安全问题，现在可用于 Red Hat Enterprise Linux 4 和 5。

Red Hat 安全响应团队将此更新评级为具有严重安全影响。

Mozilla Firefox 是一款开源 Web 浏览器。XULRunner 提供用于 Mozilla Firefox 的 XUL Runtime 环境。

在对畸形 Web 内容的处理中发现多个缺陷。包含恶意内容的网页可导致 Firefox 崩溃，或者可能以运行 Firefox 的用户的身份执行任意代码。
（CVE-2009-1392、CVE-2009-1832、CVE-2009-1833、CVE-2009-1837、CVE-2009-1838、CVE-2009-1841）

在对畸形本地文件内容的处理中发现多种缺陷。如果用户通过 file:// URL 加载了恶意本地内容，则该内容可能会访问其他本地内容。
（CVE-2009-1835、CVE-2009-1839）

在 Firefox 加载 XML 用户界面语言 (XUL) 脚本的方式中发现一个脚本、权限提升缺陷。未发生某些策略检查时，Firefox 和某些附加组件可加载恶意内容。(CVE-2009-1840)

在 Firefox 显示国际域名 (IDN) 中的某些 Unicode 字符的方式中发现一个缺陷。如果 IDN 包含无效字符，它们可能显示为空格，让用户觉得他们在访问受信任的站点。
(CVE-2009-1834)

在 Firefox 处理从代理服务器返回的错误响应的方式中发现一个缺陷。如果攻击者能够针对使用代理服务器的 Firefox 实例进行中间人攻击，则他们可能会从用户访问的站点中窃取敏感信息。(CVE-2009-1836)

有关这些缺陷的技术详细信息，请参阅 Firefox 3.0.11 的 Mozilla 安全公告。您可以在此勘误表的“参考”部分中找到 Mozilla 公告的链接。

所有 Firefox 用户应升级这些更新后的程序包，其中包含已修正了这些问题的 Firefox 版本 3.0.11。安装更新后，必须重新启动 Firefox 才能使更改生效。

遠端主機受到 GLSA-201301-01 中所述的弱點影響 (Mozilla 產品：多個弱點)

在 Mozilla Firefox、Thunderbird、SeaMonkey、NSS、GNU IceCat 與 XULRunner 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。
 影響：

遠端攻擊者可引誘使用者檢視特製的網頁或電子郵件，進而可能導致執行任意程式碼或拒絕服務情況。此外，遠端攻擊者或許能夠執行攔截式攻擊、取得敏感資訊、繞過限制及保護機制、強制檔案下載、發動 XML 插入攻擊、發動 XSS 攻擊、繞過同源原則、偽造 URL 以發動網路釣魚攻擊、觸發垂直捲動、偽造位置列、偽造 SSL 指示器、修改瀏覽器的字型、發動點擊劫持攻擊，或造成其他不明的影響。
 本機攻擊者可取得提升的權限、取得敏感資訊，或取代任意下載檔案。
 因應措施：

目前尚無已知的因應措施。

リモートホストは、GLSA-201301-01 で説明されている脆弱性の影響を受けます（Mozilla 製品：複数の脆弱性）

Mozilla Firefox、Thunderbird、SeaMonkey、NSS、GNU IceCat、および XULRunner に、複数の脆弱性が発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

リモートの攻撃者が、ユーザーを誘導し、特別に細工された Web ページやメールを表示させることができた場合、任意のコードを実行したり、サービス拒否状態を発生させたりする可能性があります。さらに、リモートの攻撃者が中間者攻撃の実行、機密情報の取得、制限および保護メカニズムのバイパス、ファイルダウンロードの強制、XML インジェクション攻撃の実行、XSS 攻撃の実行、同一生成元ポリシーのバイパス、フィッシング攻撃のための URL の偽装、縦スクロールの誘発、ロケーションバーの偽装、SSL インジケーターの偽装、ブラウザのフォントの変更、クリックジャッキング攻撃の実行を引き起こしたり、またはその他の詳細不明な影響を与えたりする可能性があります。
 ローカルの攻撃者が、昇格された権限を取得したり、機密情報を取得したり、またはダウンロードされた任意のファイルを置き換えたりする可能性があります。
 回避策：

現時点で、既知の回避策はありません。

远程主机受到 GLSA-201301-01 中所述漏洞的影响（Mozilla 产品：多种漏洞）

在 Mozilla Firefox、Thunderbird、SeaMonkey、NSS、GNU IceCat 和 XULRunner 中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

远程攻击者可引诱用户查看特别构建的网页或电子邮件，这可能导致执行任意代码或拒绝服务的情况。此外，远程攻击者可能可以执行中间人攻击、获取敏感信息、绕过限制和保护机制、强制文件下载，进行 XML 注入攻击、进行 XSS 攻击、绕过同源策略、欺骗 URL 进行钓鱼攻击、触发垂直滚动、欺骗位置栏、欺骗 SSL 标识符、修改浏览器的字体、进行点击劫持攻击或者造成其他不明影响。
 本地攻击者可获得经提升的权限、获取敏感信息或替换任意已下载的文件。
 变通方案：

目前无任何已知的变通方案。

The remote host is affected by the vulnerability described in GLSA-201301-01 (Mozilla Products: Multiple vulnerabilities)

    Multiple vulnerabilities have been discovered in Mozilla Firefox,       Thunderbird, SeaMonkey, NSS, GNU IceCat, and XULRunner. Please review the       CVE identifiers referenced below for details.
  Impact :

    A remote attacker could entice a user to view a specially crafted web       page or email, possibly resulting in execution of arbitrary code or a       Denial of Service condition. Furthermore, a remote attacker may be able       to perform Man-in-the-Middle attacks, obtain sensitive information,       bypass restrictions and protection mechanisms, force file downloads,       conduct XML injection attacks, conduct XSS attacks, bypass the Same       Origin Policy, spoof URL&rsquo;s for phishing attacks, trigger a vertical       scroll, spoof the location bar, spoof an SSL indicator, modify the       browser&rsquo;s font, conduct clickjacking attacks, or have other unspecified       impact.
    A local attacker could gain escalated privileges, obtain sensitive       information, or replace an arbitrary downloaded file.
  Workaround :

    There is no known workaround at this time.

ID	名稱	產品	系列	已發布	已更新	嚴重性
67869	Oracle Linux 4/5：firefox（ELSA-2009-1095）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	high
43755	CentOS 5 : firefox (CESA-2009:1095)	Nessus	CentOS Local Security Checks	2010/1/6	2021/1/4	high
43755	CentOS 5：firefox（CESA-2009:1095）	Nessus	CentOS Local Security Checks	2010/1/6	2021/1/4	high
39443	Mandriva Linux Security Advisory : firefox (MDVSA-2009:134)	Nessus	Mandriva Local Security Checks	2009/6/18	2021/1/6	high
67869	Oracle Linux 4 / 5 : firefox (ELSA-2009-1095)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	high
67869	Oracle Linux 4 / 5 : firefox (ELSA-2009-1095)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	high
67869	Oracle Linux 4 / 5：firefox (ELSA-2009-1095)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	high
63402	GLSA-201301-01：Mozilla 產品：多個弱點 (BEAST)	Nessus	Gentoo Local Security Checks	2013/1/8	2022/12/5	critical
63402	GLSA-201301-01：Mozilla 製品：複数の脆弱性（BEAST）	Nessus	Gentoo Local Security Checks	2013/1/8	2022/12/5	critical
63402	GLSA-201301-01：Mozilla 产品：多种漏洞 (BEAST)	Nessus	Gentoo Local Security Checks	2013/1/8	2022/12/5	critical
39369	RHEL 4 / 5 : firefox (RHSA-2009:1095)	Nessus	Red Hat Local Security Checks	2009/6/12	2021/1/14	high
63402	GLSA-201301-01 : Mozilla Products: Multiple vulnerabilities (BEAST)	Nessus	Gentoo Local Security Checks	2013/1/8	2022/12/5	critical

偵測

搜尋 Plugin

high

high

high

high

high

high

high

critical

critical

critical

high

critical