Avis du CERT-FR
Objet : Vulnérabilités de Mozilla Firefox et Mozilla Suite
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Exécution de code arbitraire à distance
Systèmes affectés
- Mozilla Firefox version 1.0.6 et antérieures ;
- Mozilla Suite versions 1.7.11 et versions antérieures.
Résumé
Des vulnérabilités dans Mozilla Firefox et dans Mozilla Suite permettent à un utilisateur distant mal intentionné d'exécuter du code arbitraire.
Description
Un manque de contrôle dans l'analyse des paramètres passés à Firefox en ligne de commande permet à un utilisateur distant mal intentionné d'éxecuter du code arbitraire par le biais d'un lien réticulaire malicieusement construit présent dans une application externe comme un client de messagerie. Remarque : Cette vulnérabilité n'est exploitable que sur des systèmes de type Unix et GNU/Linux. Plusieurs autres vulnérabilités ont été découvertes dans Mozilla Firefox et Mozilla Suite permettant d'exécuter du code arbitraire à distance.
Solution
Mettre à jour Mozilla Firefox en version 1.0.7 et Mozilla Suite en version 1.7.12. Dans tous les cas, se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité Debian DSA-838 du 02 octobre 2005 :
http://www.debian.org/security/2005/dsa-838 -
Bulletin de sécurité FreeBSD pour mozilla et firefox du 22 septembre 2005 :
http://www.vuxml.org/freebsd/ -
Bulletin de sécurité Mandriva MDKSA-2005:169 du 26 septembre 2005 :
http://www.mandriva.com/security/advisories?name=MDKSA-2005:169 -
Bulletin de sécurité Mandriva MDKSA-2005:170 du 26 septembre 2005 :
http://www.mandriva.com/security/advisories?name=MDKSA-2005:170 -
Bulletin de sécurité Mozilla MFSA 2005-58 du 22 septembre 2005 :
http://www.mozilla.org/security/announce/mfsa2005-58.html -
Bulletin de sécurité Mozilla MFSA 2005-59 du 22 septembre 2005 :
http://www.mozilla.org/security/announce/mfsa2005-59.html -
Bulletin de sécurité RedHat RHSA-2005:785 du 22 septembre 2005 :
http://rhn.redhat.com/errata/RHSA-2005-785.html -
Bulletin de sécurité RedHat RHSA-2005:789 du 22 septembre 2005 :
http://rhn.redhat.com/errata/RHSA-2005-789.html -
Liste des correctifs appliqués dans Mozilla Firefox 1.0.7 :
http://www.mozilla.org/products/firefox/releases/1.0.7.html -
Liste des correctifs appliqués dans Mozilla Suite 1.7.12 :
http://www.mozilla.org/releases/mozilla1.7.12/ -
Site Internet de Mozilla Firefox :
http://www.mozilla.org/products/firefox/ -
Site Internet de Mozilla Suite :
http://www.mozilla.org/products/mozilla1.x/
Gestion détaillée du document
| Date | Description |
|---|---|
| 21 septembre 2005 | version initiale. |
| 22 septembre 2005 | ajout de la référence au bulletin de sécurité FreeBSD. |
| 23 septembre 2005 | ajout des références aux bulletins de sécurité Mozilla, ajout du produit Mozilla Suite, ajout des bulletins de sécurité RedHat et des références CVE. |
| 27 septembre 2005 | ajout des références aux bulletins de sécurité Mandriva MDKSA-2005:169 et MDKSA-2005:170. |
| 10 octobre 2005 | ajout de la référence au bulletin de sécurité Debian DSA-838. |