Marianne ANSSI

CERT-FR

Centre gouvernemental de veille, d'alerte et de réponse aux attaques informatiques

logo ANSSI
Informations utiles

Que faire en cas d'intrusion ?

Les systèmes obsolètes

Liens utiles

 

L'ANSSI recrute

 

 

Les documents du CERT-FR

Publications récentes

Les alertes en cours

Les bulletins d'actualité

Les notes d'information

Année en cours Archive

 

Les Flux RSS du CERT-FR

Flux RSS complet

RSS

Flux RSS des alertes

RSS

Flux RSS SCADA

RSS

 

CERTA-2010-AVI-585

Imprimer ce document

Version PDF

À propos du CERT-FR

Le CERT-FR

Nous contacter

Contact us ( Drapeau anglais )

A propos du site

Communauté CSIRT

Les CSIRT

Le FIRST

L'EGC

 
Archives du CERT-FR

Année 2017 Archive

Année 2016 Archive

Année 2015 Archive

Année 2014 Archive

Année 2013 Archive

Année 2012 Archive

Année 2011 Archive

Année 2010 Archive

Année 2009 Archive

Année 2008 Archive

Année 2007 Archive

Année 2006 Archive

Année 2005 Archive

Année 2004 Archive

Année 2003 Archive

Année 2002 Archive

Année 2001 Archive

Année 2000 Archive

 

S . G . D . S . N
Agence nationale
de la sécurité des
systèmes d'information

République Française Paris, le 24 décembre 2010
No CERTA-2010-AVI-585-001

Affaire suivie par :

CERTA

AVIS DU CERTA

Objet : Vulnérabilités dans les produits Mozilla


Conditions d'utilisation de ce document : http://www.certa.ssi.gouv.fr/certa/apropos.html
Dernière version de ce document : http://www.certa.ssi.gouv.fr/site/CERTA-2010-AVI-585

Gestion du document


Tableau 1: Gestion du document
Référence CERTA-2010-AVI-585-001
Titre Vulnérabilités dans les produits Mozilla
Date de la première version 10 décembre 2010
Date de la dernière version 24 décembre 2010
Source(s) Bulletins de sécurité de la fondation Mozilla MFSA2010-74 à MFSA2010-84
Pièce(s) jointe(s) Aucune

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

  • Exécution de code arbitraire ;
  • déni de service à distance ;
  • élévation de privilèges ;
  • injection de code indirecte à distance.

2 Systèmes affectés

  • Firefox 3.5.x et 3.6.x ;
  • Thunderbird 3.0.x et 3.1.x ;
  • Seamonkey 2.0.x.

3 Résumé

Plusieurs vulnérabilités sont présentes dans les produits Mozilla et certaines permettent à un utilisateur malveillant d'exécuter du code arbitraire sur le système vulnérable.

4 Description

Plusieurs vulnérabilités présentes dans les produits Mozilla ont été corrigées :
  • des erreurs dans le moteur du navigateur provoquent des corruptions de la mémoire. Certaines permettraient d'exécuter du code arbitraire ;
  • sur les plateformes Windows, un débordement de mémoire quand document.write est appelé permet de provoquer un arrêt inopiné ou d'exécuter du code arbitraire ;
  • l'utilisation de windows.open dans certaines conditions permet d'utiliser les droits de chrome ;
  • des objets HTML dans un arbre XUL sont utilisables pour provoquer un arrêt inopiné ou pour exécuter du code arbitraire ;
  • des vulnérabilités sont exploitables au moyen de fontes de caractères ;
  • le script Java LiveConnect permet, dans certaines circonstances, de contourner la politique de sécurité ;
  • des utilisations de pointeurs après libération de la mémoire correspondante existent ;
  • des tableaux JavaScript permettent de corrompre la mémoire ;
  • les programmes en Javascript peuvent être exécutés avec des privilèges non prévus ;
  • les pages d'erreurs réseau ou liées aux certificats peuvent être utilisées par des sites malveillants pour tromper l'utilisateur sur l'identité du site avec lequel il pense être connecté ;
  • des jeux de caractères, hébreu, farsi et arabe, permettent de réaliser des injections de code indirectes.

5 Solution

Les versions 3.6.13 et 3.5.16 de Firefox, 3.1.7 et 3.0.11 de Thunderbird et 2.0.11 de SeaMonkey remédient à ces problèmes.

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

Gestion détaillée du document

10 décembre 2010
version initiale.
24 décembre 2010
ajout des références aux bulletins Fedora.


CERTA
2014-01-17
Premier Ministre / Secrétariat Général de la Défense et de la Sécurité Nationale / Agence nationale de la sécurité des systèmes d'information webmestre Dernière mise à jour : le 2017-04-26