S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 10 décembre 2010
N° CERTA-2010-AVI-585
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilités dans les produits Mozilla

Gestion du document

Référence CERTA-2010-AVI-585
Titre Vulnérabilités dans les produits Mozilla
Date de la première version10 décembre 2010
Date de la dernière version24 décembre 2010
Source(s) Bulletins de sécurité de la fondation Mozilla MFSA2010-74 à MFSA2010-84

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Déni de service à distance
  • Exécution de code arbitraire
  • Injection de code indirecte à distance
  • Élévation de privilèges

Systèmes affectés

  • Firefox 3.5.x et 3.6.x ;
  • Seamonkey 2.0.x.
  • Thunderbird 3.0.x et 3.1.x ;

Résumé

Plusieurs vulnérabilités sont présentes dans les produits Mozilla et certaines permettent à un utilisateur malveillant d'exécuter du code arbitraire sur le système vulnérable.

Description

Plusieurs vulnérabilités présentes dans les produits Mozilla ont été corrigées :

  • des erreurs dans le moteur du navigateur provoquent des corruptions de la mémoire. Certaines permettraient d'exécuter du code arbitraire ;
  • sur les plateformes Windows, un débordement de mémoire quand document.write est appelé permet de provoquer un arrêt inopiné ou d'exécuter du code arbitraire ;
  • l'utilisation de windows.open dans certaines conditions permet d'utiliser les droits de chrome ;
  • des objets HTML dans un arbre XUL sont utilisables pour provoquer un arrêt inopiné ou pour exécuter du code arbitraire ;
  • des vulnérabilités sont exploitables au moyen de fontes de caractères ;
  • le script Java LiveConnect permet, dans certaines circonstances, de contourner la politique de sécurité ;
  • des utilisations de pointeurs après libération de la mémoire correspondante existent ;
  • des tableaux JavaScript permettent de corrompre la mémoire ;
  • les programmes en Javascript peuvent être exécutés avec des privilèges non prévus ;
  • les pages d'erreurs réseau ou liées aux certificats peuvent être utilisées par des sites malveillants pour tromper l'utilisateur sur l'identité du site avec lequel il pense être connecté ;
  • des jeux de caractères, hébreu, farsi et arabe, permettent de réaliser des injections de code indirectes.

Solution

Les versions 3.6.13 et 3.5.16 de Firefox, 3.1.7 et 3.0.11 de Thunderbird et 2.0.11 de SeaMonkey remédient à ces problèmes.

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 10 décembre 2010
    version initiale.
    le 24 décembre 2010
    ajout des références aux bulletins Fedora.