Sécurité informatique

SECURINFOS.INFO - Veille en sécurité informatique

Mozilla Firefox 3 URI Launching et XUL Error Page Vulnérabilités

16/07/2008 15H41
Référence Secunia : SA31106 
Date de publication : 2008-07-16

Risque : Elevé. Niveau 4 sur 5.
Impact : Contournement de la Sécurité, Spoofing, Accès au système
Lieu : A distance


Solutions :
Correctif de l'éditeur


Produit :
Mozilla Firefox 3.x

Référence CVE :
CVE-2008-2933


Description :
Quelques vulnérabilités ont été identifiées dans Firefox 3, qui pourrait être exploitée par des personnes malintentionnées pour passer outre certaines restrictions de sécurité, potentiellement conduire des attaques par spoofing, ou compromettre le système d'un utilisateur.

1) Une vulnérabilité pourrait être exploitée à lancer par ex. "file" ou "chrome:" URIs dans Firefox.

Pour plus d'informations see:

2) L'entrée passée à XUL based error pages n'est pas correctement filtrée avant d'être retournée à un utilisateur et pourrait être exploitée à par ex. conduire des attaques par dissimulation.

In combination avec la vulnérabilité #1 cela pourrait être exploité pour injecter du code de script arbitraire et d'exécuter des commandes arbitraires dans "chrome" context, mais n'est possible seulement si une URI spécialement conçue est passé à Firefox et que Firefox n'est pas démarré.

Les vulnérabilités sont rapportées en versions inférieures à 3.0.1.
.

Solutions :
Mettre à jour en version 3.0.1.
http://www.mozilla.com/en-US/firefox/


Vulnérabilité découverte par :

L'éditeur crédite:
1) Ben Turner et Dan Veditz (Mozilla developers)
2) Billy Rios

Référence :
MFSA 2008-35:
http://www.mozilla.org/security/announce/2008/mfsa2008-35.html




Veuillez noter : L'information sur laquelle est basée ce bulletin Secunia provient d'un tiers sauf mention du contraire. Secunia collecte, valide, et vérifie tout les rapports de vulnérabilité issus de la recherche en sécurité de groupes, distributeurs ou autres.

Les noms, marques et enseignes cités sur ce site sont la propriété de leurs déposants respectifs.