S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 26 février 2007
N° CERTA-2007-AVI-102
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Multiples vulnérabilités de produits Mozilla

Gestion du document

Référence CERTA-2007-AVI-102
Titre Multiples vulnérabilités de produits Mozilla
Date de la première version26 février 2007
Date de la dernière version27 mars 2007
Source(s) Notes de mises à jour de Firefox 2.0.0.2 du 26 février 2007
Notes de mises à jour de Seamonkey 1.0.8 du 26 février 2007
Notes de mises à jour de Thunderbird 1.5.0.10 du 26 février 2007
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Atteinte à la confidentialité des données
  • Contournement de la politique de sécurité
  • Exécution de code arbitraire à distance

Systèmes affectés

  • Firefox 1.5.0.9 et versions antérieures ;
  • Firefox 2.0.0.1 et versions antérieures ;
  • Network Security Services 3.11.4 et versions antérieures.
  • Seamonkey 1.0.7 et versions antérieures ;
  • Thunderbird 1.5.0.9 et versions antérieures ;

Résumé

Plusieurs vulnérabilités sur les produits Mozilla cités ci-dessus permettraient le contournement de la politique de sécurité, l'atteinte à la confidentialité des données ou l'exécution de code arbitraire à distance.

Description

Plusieurs vulnérabilités ont été découvertes dans les produits de Mozilla. L'exploitation de ces vulnérabilités peut se faire de différentes façons (script hostile, boite de dialogue malformée, certificats malformés, etc.) et permet à des utilisateurs malintentionnés de provoquer un déni de service, d'exécuter du code arbitraire ou d'obtenir des droits élevés sur la machine victime.

Solution

Les versions suivantes corrigent les problèmes :

  • Firefox 1.5.0.10 ;
  • Firefox 2.0.0.2 ;
  • Thunderbird 1.5.0.10 ;
  • Seamonkey 1.0.8 ;
  • Network Security Services 3.11.5.

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

La branche de développement 1.5.x de Firefox ne sera plus maintenue au-delà du 24 avril 2007.

Documentation

Gestion détaillée du document

    le 26 février 2007
    version initiale.
    le 05 mars 2007
    ajout de la référence à la mise à jour de sécurité Red Hat.
    le 13 mars 2007
    ajout des références aux mises à jour de sécurité Ubuntu, Gentoo, SuSE, Mandriva.
    le 27 mars 2007
    ajout des références aux mises à jour de sécurité Ubuntu, Gentoo, SuSE, Mandriva, Red Hat.