Date : 25-09-2008

Criticité HSC : 3/5 - moyenne

Avis public : Oui

Exploitation : Indisponible

Résumé : Mozilla a corrigé un ensemble de vulnérabilités dans ses navigateurs Firefox 2, Firefox 3 et SeaMonkey, ainsi que dans son client de courrier électronique Thunderbird 2. Ces vulnérabilités sont, pour certaines, jugées critiques et pourraient permettre la compromission du poste de travail de la victime.

Source : mozilla

Objet : Mozilla

Description :

Un total de seize vulnérabilités ont été découvertes dans les produits
Mozilla, pouvant affecter la stabilité et la sécurité de ces derniers.
L’exploitation de certaines de ces vulnérabilités peut mener à
l’exécution de code arbitraire à distance sur le poste client de la
victime. Cette exploitation nécessite cependant que l’utilisateur visite
un site disposant de contenu malveillant, ou qu’il ouvre un courrier
électronique contenant du code JavaScript dans Thunderbird (à condition
que le JavaScript soit activé).

Ainsi, par ordre décroissant de criticité :

* Quatre vulnérabilités de type corruption de mémoire, pouvant
potentiellement mener à une exécution de code arbitraire à distance, ont
été découvertes dans les moteurs de rendu graphique (CVE-2008-4064), de
mise en page (CVE-2008-4061 et CVE-2008-4063) et dans le moteur
JavaScript (CVE-2008-4062) utilisés par tous les produits Mozilla.

* Trois vulnérabilités affectent le composant "XPCnativeWrapper" du
moteur JavaScript des produits Mozilla (CVE-2008-4058, CVE-2008-4059 et
CVE-2008-4060) et permettent l’exécution de scripts et de code à
distance.

* Un débordement de pile (CVE-2008-0016) a été découvert dans la gestion
des URL en UTF-8 dans Firefox 2. Cette faille permettrait l’exécution de
code arbitraire à distance par le biais d’une URL piégée. Elle n’impacte
pas Firefox 3.

* Le composant "feedWriter" du moteur JavaScript de Firefox 2 est
vulnérable à une élévation de privilèges lors de l’exécution de code
JavaScript malveillant (CVE-2008-3836). Cette vulnérabilité peut être
déclenchée par un simple XSS ou par la prévisualisation d’un flux RSS.
Elle n’affecte pas Firefox 3.

* Une faille permettant d’outrepasser le système de "Same-origin policy"
pour l’exécution de code JavaScript a été mise au jour dans la méthode
"nsXMLDocument::OnChannelRedirect()" (CVE-2008-3835). L’exploitation de
cette vulnérabilité, n’affectant pas non plus Firefox 3, permettrait à
un utilisateur malveillant de faire exécuter du code JavaScript dans le
contexte d’un autre site web et ainsi voler des informations sensibles
tels que des cookies de session par exemple.

* Les autres vulnérabilités (CVE-2008-3837 et CVE-2008-4065 à CVE-2008-
4069) sont moins importantes et ne permettent pas directement la
compromission du poste client. Elles nécessitent cependant une
correction.

Références :

– http://www.mozilla.org/security/announce/2008/mfsa2008-37.html
– http://www.mozilla.org/security/announce/2008/mfsa2008-38.html
– http://www.mozilla.org/security/announce/2008/mfsa2008-39.html
– http://www.mozilla.org/security/announce/2008/mfsa2008-40.html
– http://www.mozilla.org/security/announce/2008/mfsa2008-41.html
– http://www.mozilla.org/security/announce/2008/mfsa2008-42.html
– http://www.mozilla.org/security/announce/2008/mfsa2008-43.html
– http://www.mozilla.org/security/announce/2008/mfsa2008-44.html
– http://www.mozilla.org/security/announce/2008/mfsa2008-45.html