S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 26 mars 2008
N° CERTA-2008-AVI-160-001
Affaire suivie par: CERT-FR
le 26 mars 2008

Avis du CERT-FR

Objet: Vulnérabilités dans Firefox

Gestion du document

Référence CERTA-2008-AVI-160-001
Titre Vulnérabilités dans Firefox
Date de la première version 26 mars 2008
Date de la dernière version 27 mars 2008
Source(s) Bulletin Mozilla du 25 mars 2008
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Exécution de code arbitraire à distance ;
  • déni de service à distance ;
  • contournement de la politique de sécurité ;
  • atteinte à la confidentialité des données ;
  • élévation de privilèges.

Systèmes affectés

Firefox, version 2.0.0.12 et antérieures.

Résumé

Plusieurs vulnérabilités affectent le navigateur Firefox. Leur exploitation permet à un utilisateur malveillant de contourner la politique de sécurité et en particulier d'exécuter du code arbitraire à distance.

Description

Plusieurs vulnérabilités affectent le navigateur Firefox.

Une erreur dans la gestion du protocole jar permet à un utilisateur malveillant d'ouvrir des connexions vers des ports arbitraires de la machine vulnérable.

Une erreur de gestion de certificats permet de divulguer des informations sensibles à un serveur malveillant.

Des erreurs dans le moteur d'affichage et dans l'interpréteur de Javascript permettent de provoquer des corruptions de mémoire. Ces corruptions sont exploitables pour exécuter indûment du code à distance.

Diverses erreurs permettent de :

  • provoquer des injections de code indirectes (cross-site scripting) ;
  • contourner des protections contre les attaques de type cross-site request forgery ;
  • d'exécuter du code Javascript avec élévation de privilèges ;
  • tromper l'utilisateur pour capturer ses identifiants et mots de passe.

Solution

La version 2.0.0.13 remédie à ces vulnérabilités.

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 26 mars 2008
    version initiale.
    le 27 mars 2008
    ajout des bulletins de sécurité Ubuntu et Red Hat.