セキュリティ問題を修正したMozillaのアップデート パッケージ

セキュリティ・アドバイス

概要:

S/MIMEの構文解析における脆弱性およびその他の問題やバグを修正した、Mozillaのアップデート パッケージが利用可能になりました。

Mozillaは、標準への準拠、性能、移植性を重視して作られたWebブラウザ兼メールリーダーです。ネットワーク セキュリティ サービス(NSS: Network SecurityServices)は、セキュリティ対策が取られたサーバー アプリケーションのクロス プラットフォーム開発をサポートするように設計されたライブラリ群です。

NISCCが実施したS/MIMEプロトコル実装のテストにより、バージョン3.9以前のNSSに複数のバグがあることがわかりました。S/MIMEデータ中の予期せぬASN.1コンストラクトを構文解析すると、Mozillaがクラッシュしたり、大量のメモリを消費したりする可能性があります。リモートの攻撃者が巧妙に作成されたS/MIMEメッセージをユーザーに送信して、これらのバグを引き起こすこともあります。"Common Vulnerabilitiesand Exposures"プロジェクト（cve.mitre.org）により、この問題はCAN-2003-0564と命名されています。

複数のバージョンのMozillaに影響を与えるサイト間スクリプティングの問題を、Andreas Sandblad氏が発見しました。新しいページにリンクを作成する際、新しいページが正しく読み込まれる前に、依然として古いページとやりとりができてしまうという問題です。新しいページと関連して任意のJavascriptイベントが起動され、異なるページがそれぞれ異なるドメインに属していると、サイト間スクリプティングが可能になります。"Common Vulnerabilities and Exposures"プロジェクト（cve.mitre.org）により、この問題はCAN-2004-0191と命名されています。

複数のWebブラウザとサーバー間におけるクッキー パスの処理に、欠陥があることがわかりました。HTTPクッキー標準により、クライアントに対してクッキーを提供しているWebサーバーは、クッキーが適用される元のサーバーのURLのサブセットを指定することができます。ApacheなどのWebサーバーは、戻されたクッキーをフィルター処理せずに、サーバーが提供したURLのサブセット内に収まるリクエストに対するクッキーだけをクライアントが送り返してくると仮定しています。しかし、パス トラバーサル(/../)や文字エンコーディングを使用したURLを提供することにより、元々指定されていたサブセットに収まらないパスへのクッキーをブラウザが送信するように仕組むことができます。"Common Vulnerabilities and Exposures"プロジェクト（cve.mitre.org）により、この問題はCAN-2003-0594と命名されています。

Mozillaのユーザーは、Mozillaバージョン1.4.2を含み、これらの問題に対する脆弱性を修正した、上記アップデート パッケージにアップグレードすることをお勧めします。

アップデート・パッケージ:

解決法:

rpm -Fvh [filename]

[filename] は、アップデートしたいRPMのファイル名です。現在インストールされているパッケージのみ、アップグレードされます。現在いるディレクトリにインストールしたいRPM *しか* 無い場合には、 ワイルドカード (*.rpm) も使うことができます。
このアップデートは、Red Hat Network 経由でも行なえます。アップデートを適用する非常に簡便な方法です。Red hat Network をご利用になるには、以下のコマンドで、アップデートエージェントを起動してください。

up2date

このコマンドで、システムに適切なRPMをアップグレードする対話形式のプロセスを起動します。

参照:

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0564
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0594
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2004-0191
http://www.mozilla.org/projects/security/pki/nss/#NSS_39
http://bugzilla.mozilla.org/show_bug.cgi?id=227417
http://www.niscc.gov.uk/

キーワード:

ここに在るパッケージはセキュリティの為、 Red Hat, Inc. によって、 GPG 認証されています。キーは以下から利用可能になっています:
http://www.redhat.com/about/contact.html

各パッケージを確認するには次のコマンドをご利用ください: rpm --checksig filename
各パッケージが壊れていないか、もしくは改ざんされていないかを確認するには、以下のコマンドで MD5 チェックサムをお調べください: rpm --checksig --nogpg filename
注意: GnuPG キーをチェックするためには、RPM 3.0 以上が必要です。