S . G . D . S . N
Agence nationale
de la sécurité des
systèmes d'information

République Française Paris, le 05 mai 2011
No CERTA-2011-AVI-267-002

Affaire suivie par :

CERTA

AVIS DU CERTA

Objet : Multiples vulnérabilités dans les produits Mozilla


Conditions d'utilisation de ce document : http://www.certa.ssi.gouv.fr/certa/apropos.html
Dernière version de ce document : http://www.certa.ssi.gouv.fr/site/CERTA-2011-AVI-267

Gestion du document


Tableau 1: Gestion du document
Référence CERTA-2011-AVI-267-002
Titre Multiples vulnérabilités dans les produits Mozilla
Date de la première version 29 avril 2011
Date de la dernière version 05 mai 2011
Source(s) Bulletins de sécurité de la fondation Mozilla mfsa2011-12 à mfsa2011-18 du 28 avril 2011
Pièce(s) jointe(s) Aucune

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Exécution de code arbitraire à distance.

2 Systèmes affectés

Les versions antérieures aux versions suivantes :
  • Firefox 4.0.1 ;
  • Firefox 3.6.17 ;
  • Firefox 3.5.19 ;
  • Thunderbird 3.1.10 ;
  • SeaMonkey 2.0.14.

3 Résumé

De multiples vulnérabilités ont été corrigées dans les produits Mozilla, dont certaines permettent l'exécution de code arbitraire à distance.

4 Description

De multiples vulnérabilités ont été corrigées dans les produits Mozilla :
  • plusieurs vulnérabilités dans la gestion de la mémoire par le moteur de navigation utilisé dans Firefox, Thunderbird et Seamonkey peuvent être exploitées pour corrompre la mémoire et exécuter du code arbitraire à distance ;
  • plusieurs vulnérabilités dans la fonction WebGL et les bibliothèques WebGLES introduites avec Firefox 4.0 permettent d'exécuter du code arbitraire et de contourner certaines protections des versions recentes de Microsoft Windows comme l'ASLR ;
  • une vulnérabilité dans la fonction XSLT generate-id() révèle l'adresse mémoire d'un objet du tas et peut être utilisée pour renforcer une attaque exploitant d'autres vulnérabilités.

5 Solution

Se référer aux bulletins de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

Gestion détaillée du document

29 avril 2011
version initiale.
04 mai 2011
ajout des bulletins de sécurité Debian, Fedora et Ubuntu.
05 mai 2011
ajout du bulletins de sécurité Ubuntu pour Thunderbird.


CERTA
2014-01-17