يصلّي [فيرفوإكس] 2.0.0.8 عشرة أمن فتحة بئر

قساوة: وسط

19 أكتوبر - تشرين الأوّل, 2007

خلاصة:

أمس متأخّرة, [موزيلّا] أطلق أساس تحديث أن يثبت عشرة أمن جروحية في [فيرفوإكس] 2.0.0.7, ل [ويندووس], [لينوإكس], و [مسنتوش]. إن واحدة من ك [فيرفوإكس] مستعملات يزور [وب بج] خبيثة, مهاجمة استطاع استغلّت المريضة من هذا جروحية أن ينفّذ رمز على مستعملتك حاسوب, مع مستعملتك امتيازات, من المحتمل يكسب تحكم كاملة من الحاسوب. إن أنت تركض [فيرفوإكس] على أيّ منصة, أنت سوفت جلبت ونشرت صيغة 2.0.0.8 [أت وور رليست كنفنينس].

انكشاف:

بالأمس, [موزيلّا] أساس يطلق [فيرفوإكس] 2.0.0.8, يثبت عشرة أمن جروحية في ال [وب برووسر] شعبيّة. نحن نلخّص الثلاثة جروحية حرجة أكثر أدناه:

• اثنان ذاكرة فساد جروحية. [فيرفوإكس] يعاني من اثنان غيرمعيّن تحطم بقة, أيّ يفسد ذاكرة. [موزيلّا] يفترض أنّ مع بما فيه الكفاية جهد بعض من هذا ذاكرة فساد عياب استطاع كنت استغلّت أن يركض [أربيترري كد]. أن يستغلّ هذا عياب, اضطرّ مهاجمة أولى خدعت واحدة من مستعملاتك داخل يزور خصوصا يحبك [وب بج]. إن مستعملتك أخذ الطعم, المهاجمة استطاع نفّذت رمز على أنّ مستعملة آلة, مع أنّ مستعملة امتيازات. إن مستعملتك كان مديرة محلّية أو تلقّى جذر امتيازات, كسب المهاجمة تحكم إجماليّة من الضحية حاسوب.

• [جفسكريبت] امتياز إرتفاع جروحية. وفقا ل [موزيلّا], مهاجمة يستطيع استعملت [ا] نص اعترضت أن يعدّل [إكسبكنتيفوربّرس], أيّ بالتّالي استطاع سمحت المهاجمة أن ينفّذ [جفسكريبت] مع ال نفسه امتيازات بما أنّ [فيرفوإكس] مستعملة. يعني [تشنو-ببّل] على حدة, أنّ أنّ إن مهاجمة يستطيع حصلت مستعملتك أن يزور [وب بج] ه خبيثة, وهو يستطيع أقنعت أنّ مستعملة أن يتفاعل مع صفحته في طريق خاصّة, هو استطاع استغلّت هذا جروحية أن ينفّذ [جفسكريبت] خبيثة على مستعملتك حاسوب مع ال نفسه امتيازات بما أنّ مستعملتك. هذا [جفسكريبت] خبيثة استطاع أتمّت فقط حول أيّ شيء أنّ مستعملتك استطاع. هكذا إن أنّ مستعملة يتلقّى محلّية إداريّة أو يرسّخ امتيازات, مهاجمة استطاع احتماليّا رفع القدرة الماليّة بالاستدانة هذا جروحية أن يكسب تحكم كاملة من المستعملة آلة.

• [فيرفوإكس] و [إينترنت إكسبلورر] رمز تنفيذ جروحية. في [ا] بعد سلك موقعة, وصف نحن جروحية حرجة في [إينترنت إكسبلورر] ([إي]) [أوري] مناولة أنّ استطاع كنت أسءت أن يطلق [كروسّ-برووسر] [سكريبت] هجوم مع [فيرفوإكس]. يعمل هذا هجوم فقط إن مستعملاتك يتلقّون على حدّ سواء [فيرفوإكس] و [إينترنت إكسبلورر] يركّب. إن مهاجمة يستطيع استهويت واحدة من مستعملاتك أن يطقطق خصوصا يحبك خطوة يستعمل [إي], هو استطاع نفّذت [جفسكريبت] خبيثة في [فيرفوإكس] مع مستعملتك أمن امتيازات. If your user had local administrator privileges, the attacker could exploit this flaw to gain complete control of the user’s machines. Mozilla partially corrected the Firefox portion of this vulnerability in July. However, security researchers found new ways of exploiting this flaw using Windows XP with IE7. Today’s update fixes these additional flaws.

The remaining vulnerabilities include Denial of Service (DoS), information disclosure, and URL spoofing flaws. If you’d like to know more about them, check out Firefox’s known issues page. However, the critical vulnerabilities above should convince you to upgrade your Firefox users to the fixed version at your earliest convenience.

As an aside, the 2.0.0.8 update also adds Mac OS X 10.5 (Leopard) support to Firefox.

Solution Path:

Mozilla has updated Firefox, correcting these security vulnerabilities. If you use Firefox in your network, we recommend that you download and deploy version 2.0.0.8 as soon as possible. Mozilla no longer supports the 1.5.x branch of Firefox. We recommend that 1.5.x users migrate to 2.0.0.8 now.

• Windows
• Linux
• Mac OS X

Note: The latest versions of Firefox 2.0 automatically informs you when a Firefox update is available. We highly recommend you keep this feature enabled so that Firefox receives its updates as soon as Mozilla releases them. To verify you have Firefox configured to automatically check for updates, click Tools => Options => Advanced tab => Update tab. Make sure that “Firefox” is checked under “Automatically check for updates.” In this menu, you can configure Firefox to automatically download and install the update, or to merely inform the user that the update exists.

For All WatchGuard Users:

Some of these attacks arrive as normal-looking HTTP traffic, which you must allow through your firewall if your network users need to access the World Wide Web. Therefore, the patches above are your best solution.

Status:

The Mozilla Foundation has released Firefox 2.0.0.8, fixing these security issues.

References:

• Firefox 2.0.0.8 Release Notes
• Vulnerabilities Fixed in Firefox 2.0.0.8