Avis du CERT-FR
Objet : Vulnérabilités de Firefox
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à la confidentialité des données
- Déni de service à distance
- Exécution de code arbitraire à distance
Systèmes affectés
- Firefox 2.x et 3.x.
Résumé
Plusieurs vulnérabilités affectent le navigateur Firefox. Certaines d'entre elles permettent à un utilisateur malveillant d'exécuter du code arbitraire sur le système vulnérable.
Description
Plusieurs vulnérabilités sont présentes dans le navigateur Firefox :
- des erreurs dans la bibliothèque de traitement des images au format PNG permettent à un utilisateur malveillant de provoquer l'arrêt du navigateur ou d'exécuter du code arbitraire à distance ;
- le moteur de mise en page comporte plusieurs défauts qui permettent à un utilisateur malveillant de réaliser un déni de service à distance ;
- le moteur JavaScript comporte une vulnérabilité exploitable par un utilisateur malveillant pour réaliser un déni de service à distance ;
- un problème dans la gestion de la mémoire permet à un utilisateur malveillant d'exécuter du code arbitraire à distance ;
- un traitement défectueux permet à un site malveillant de lire sans autorisation des informations au format XML provenant d'un autre domaine ;
- une erreur dans le traitement des caractères de contrôle permet à un utilisateur malveillant d'afficher dans la barre d'adresses une adresse réticulaire qui ne correspond pas à l'adresse réelle.
Solution
La branche 2.x de Firefox n'est plus maintenue depuis le 18 décembre 2008.
La version 3.0.7 de Firefox corrige ces vulnérabilités. Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité de la fondation Mozilla MFSA2009-07 du 04 mars 2009
http://www.mozilla.org/security/announce/2009/MFSA2009-07.html -
Bulletin de sécurité de la fondation Mozilla MFSA2009-08 du 04 mars 2009
http://www.mozilla.org/security/announce/2009/MFSA2009-08.html -
Bulletin de sécurité de la fondation Mozilla MFSA2009-09 du 04 mars 2009
http://www.mozilla.org/security/announce/2009/MFSA2009-09.html -
Bulletin de sécurité de la fondation Mozilla MFSA2009-10 du 04 mars 2009
http://www.mozilla.org/security/announce/2009/MFSA2009-10.html -
Bulletin de sécurité de la fondation Mozilla MFSA2009-11 du 04 mars 2009
http://www.mozilla.org/security/announce/2009/MFSA2009-11.html -
Référence CVE CVE-2009-0040
https://www.cve.org/CVERecord?id=CVE-2009-0040 -
Référence CVE CVE-2009-0771
https://www.cve.org/CVERecord?id=CVE-2009-0771 -
Référence CVE CVE-2009-0772
https://www.cve.org/CVERecord?id=CVE-2009-0772 -
Référence CVE CVE-2009-0773
https://www.cve.org/CVERecord?id=CVE-2009-0773 -
Référence CVE CVE-2009-0774
https://www.cve.org/CVERecord?id=CVE-2009-0774 -
Référence CVE CVE-2009-0775
https://www.cve.org/CVERecord?id=CVE-2009-0775 -
Référence CVE CVE-2009-0776
https://www.cve.org/CVERecord?id=CVE-2009-0776 -
Référence CVE CVE-2009-0777
https://www.cve.org/CVERecord?id=CVE-2009-0777
Gestion détaillée du document
| Date | Description |
|---|---|
| 05 mars 2009 | version initiale. |