Alert GCSA-08030 – Vulnerabilita’ nei prodotti Mozilla

Descrizione del problema

Sono state riscontrate vulnerabilita’ multiple nei prodotti Mozilla Firefox,
Thunderbird e Seamonkey che potrebbero essere sfruttate per compromettere
un sistema che ne sia affetto, fino ad ottenerne il controllo completo.

Aggiornamento Alert GCSA-08007 – Vulnerabilita’ nei prodotti Mozilla

—–BEGIN PGP SIGNED MESSAGE—–
Hash: SHA1

************************************************************************

Alert ID : GCSA-08007
Data : 27 Febbraio 2008
Titolo : Vulnerabilita’ nei prodotti Mozilla

************************************************************************

Le seguenti informazioni integrano quanto gia’ esposto nell’Alert GCSA-08007.

E’ stata rilasciata la versione 2.0.0.12 di Mozilla Thunderbird che corregge
alcune delle vulnerabilit elencate nell’alert GCSA-08007:

http://www.mozilla.com/thunderbird/

L’aggiornamento a tale versione risolve inoltre una nuova vulnerabiita’
dovuta ad un errore durante la gestione di messaggi e-mail con un body MIME
esterno. Tale vulnerabilita’ potrebbe essere sfruttata per provocare un
heap-based buffer overflow e permettere l’esecuzione di codice arbitrario,
inducendo l’utente ad aprire e-mail appositamente predisposte.

Riferimenti:

Secunia:

http://secunia.com/advisories/29133/

Mozilla Foundation:

http://www.mozilla.org/security/announce/2008/mfsa2008-12.html

iDefense:

http://labs.idefense.com/intelligence/vulnerabilities/display.php?id=668

CVE Mitre:

http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-0304

—–BEGIN PGP SIGNATURE—–

iQCVAwUBR8WAMvOB+SpikaiRAQJ7ZwP/d2VCUaDCqaDdPVRBjSt0Tg//3IJzpWRr
mwfbvYODfFoZfawuc0Cq5VZGSa0kSitDZeWTVFl3fy2AMNIlAZohmFUughPECLED
4eZE1YMDPjxWMcrvtaMB7Wbi8YXzcR0cxpwqH29PxVbDl5fW8QSxb1zYuSu/EPxD
+E2J3rjrQEo=
=7eKt
—–END PGP SIGNATURE—–

Ulteriori Informazioni per Alert GCSA-08007 – Vulnerabilita’ nei

Riferimenti

Mozilla Foundation:

http://www.mozilla.org/security/announce/2008/mfsa2008-01.html

http://www.mozilla.org/security/announce/2008/mfsa2008-02.html

http://www.mozilla.org/security/announce/2008/mfsa2008-03.html

http://www.mozilla.org/security/announce/2008/mfsa2008-05.html

http://www.mozilla.org/security/announce/2008/mfsa2008-06.html

http://www.mozilla.org/security/announce/2008/mfsa2008-08.html

http://www.mozilla.org/security/announce/2008/mfsa2008-10.html

—–BEGIN PGP SIGNATURE—–

iQCVAwUBR7AVgPOB+SpikaiRAQKk4gP/T5LXiD4IUvV4wkIfZ+9uMNdgSabKmtC+
D04Qkn5NXoF+5EEciMET5A90vzfcgmYW0UudTqOEIYzQowCl5SxahYByAAaMEOw8
u6WPyvfRqc3JUoUJ4lDwAbjsA1zZbdiH/xrAWu2rFY6c1ZxJeYWnd0cm9ai1H0e+
EioteIBAaM8=
=Cnf2
—–END PGP SIGNATURE—–

Alert GCSA-08007 – Vulnerabilita’ nei prodotti Mozilla

Descrizione del problema

Sono state identificate vulnerabilita’ nei prodotti Mozilla che
potrebbero permettere ad attaccanti remoti di sovrascrivere certe
restrizioni di sicurezza, condurre attacchi di spoofing, o compromettere
completamente un sistema.

Tali vulnerabilita’ sono principalmente causate:

1) da vari errori nel motore sia del browser che Javascript che possono
essere sfruttati per provocare corruzione della memoria, causando
esecuzione di codice arbitrario;
2) da un errore di desing nel gestire il focus, che puo’ potenzialmente
essere sfruttato per indurre l’utente a fare upload dei propri file;
3) da un errore nel motore Javascript che puo’ essere sfruttato per
eseguire codice Javascript con privilegi dell’utente “chrome” o per
coddurre attacchi di cross-domain scripting;
4) un errore nella validazione dell’input quando si salvano le password,
nella funzione di immagazzinamento delle password, che puo’ essere
sfruttato per iniettare nuove linee in questi file, oppure corrompendo
le password immagazzinate;

Alert GCSA-07130 Vulnerabilita’ in Mozilla Thunderbird 1.5.0.x

Descrizione del problema

E’ stata rilasciata una nuova versione di Mozilla Thunderbird
serie 1.5.0.x, per risolvere due vulnerabilita’.

Alert GCSA-07115 – Vulnerabilita’ in Mozilla Firefox e SeaMonkey

Descrizione del problema

Sono state risolte alcune vulnerabilita’ scoperte in Mozilla
Firefox e Seamokey che se sfruttate potrebbero causare condizioni
di denial of service e compromissione di un sitema affetto.

La prima vulnerabilita’ e’ causata da una race condition che si crea
durante l’impostazione della proprieta’ “window.location” e puo’
essere sfruttata per generare attacchi di tipo cross-site request
forgery (CSRF).

La seconda vulnerabilita’ e’ causata da errori di corruzione della
memoria durante l’elaborazione di dati malformati e puo’ essere
sfruttata da un attaccante per mandare in crash un browser
vulnerabile o eseguire codice arbitrario inducendo l’utente a
visitare un sito web malevolo.