レッドハット | サポート

Shortcuts: お問い合わせ| 製品のご購入| Fedora| サイトマップ

Account Links: RHN登録方法 | RHN登録 | RHNログイン

サポート > セキュリティー&アップデート/ERRATA

重大（Critical）：Firefoxのセキュリティアップデート

アドバイスID:	RHSA-2007:0079-2
最終更新日:	2007-02-23
影響のあるプロダクト:	Red Hat Desktop (v. 4) Red Hat Enterprise Linux AS (v. 4) Red Hat Enterprise Linux ES (v. 4) Red Hat Enterprise Linux WS (v. 4)
OVAL:	https://rhn.redhat.com/errata/RHSA-2007-0079.html
CVEs (cve.mitre.org):	CVE-2006-6077 CVE-2007-0008 CVE-2007-0009 CVE-2007-0775 CVE-2007-0777 CVE-2007-0778 CVE-2007-0779 CVE-2007-0780 CVE-2007-0800 CVE-2007-0981 CVE-2007-0995 CVE-2007-0996

セキュリティ・アドバイス

概要:

複数のセキュリティのバグを修正したfirefoxのアップデートパッケージがRed Hat Enterprise Linux 4で利用可能になりました。

このアップデートは、レッドハットセキュリティ対策チームによって、深刻度「重大（Critical）」のセキュリティ問題と評価されています。

Mozilla FirefoxはオープンソースのWebブラウザです。

Firefoxが不正なJavaScriptコードを処理する段階で、複数の欠陥が見つかりました。悪意のあるWebページでJavaScriptコードが実行されることにより、Firefoxがクラッシュしたり、Firefoxを実行しているユーザとして任意のコードが実行されたりする可能性があります。（CVE-2007-0775、CVE-2007-0777）

Firefoxによる特定の不正なWebページの処理で、複数のクロスサイトスクリプティング（XSS）の欠陥が見つかりました。悪意のあるWebページが誤解を招く情報を表示し、ユーザが意図せずにパスワードなどの機密情報を開示する可能性があります。（CVE-2006-6077、CVE-2007-0995、CVE-2007-0996）

FirefoxがWebページをローカルディスクにキャッシュする処理で欠陥が見つかりました。ユーザが目的のサイトをリロードした場合、悪意のあるWebページにより、任意のHTMLがブラウジングセッションへ挿入される可能性があります。（CVE-2007-0778）

Firefoxが特定のWebコンテンツを表示する処理で欠陥が見つかりました。悪意のあるWebページがユーザインタフェース要素（ホスト名インジケータやセキュリティインジケータなど）に重ねて表示されるコンテンツを生成することにより、ユーザを欺いて別のサイトを閲覧しているように見せかけることが可能です。（CVE-2007-0779）

ブロックされたポップアップウィンドウを表示するFirefoxの処理で、2つの欠陥が見つかりました。ブロックされたポップアップをユーザが開いた場合、任意のローカルファイルが読み取られたり、そのユーザに対してXSS攻撃が仕掛けられたりする可能性があります。（CVE-2007-0780、CVE-2007-0800）

SSLv2プロトコルを処理するためのNetwork Security Services（NSS）のコードで、2つのバッファオーバーフローの欠陥が見つかりました。悪意のあるセキュアWebサーバに接続すると、Firefoxを実行しているユーザとして任意のコードが実行される可能性があります。（CVE-2007-0008、CVE-2007-0009）

Firefoxによる特定のブラウザドメインチェック時の「location.hostname」値の処理で、欠陥が見つかりました。この欠陥のために、悪意のあるWebページによって任意のサイトのドメインCookieが設定されたり、XSS攻撃が仕掛けられたりする可能性があります。（CVE-2007-0981）

Firefoxのユーザは、これらの問題を修正するFirefoxバージョン1.5.0.10を含む上記エラータパッケージにアップグレードしてください。

アップデート・パッケージ:

Red Hat Desktop (v. 4)

SRPMS:
firefox-1.5.0.10-0.1.el4.src.rpm	`fd579d11e1a502a2173ab1780820a26a`

IA-32:
firefox-1.5.0.10-0.1.el4.i386.rpm	`4cd4889a0517e9f6e78af778756d4a41`

x86_64:
firefox-1.5.0.10-0.1.el4.x86_64.rpm	`2483e1863a431c2ac987cb17c169219a`

Red Hat Enterprise Linux AS (v. 4)

SRPMS:
firefox-1.5.0.10-0.1.el4.src.rpm	`fd579d11e1a502a2173ab1780820a26a`

IA-32:
firefox-1.5.0.10-0.1.el4.i386.rpm	`4cd4889a0517e9f6e78af778756d4a41`

IA-64:
firefox-1.5.0.10-0.1.el4.ia64.rpm	`09bfead1018fad7afc4594a8e8e7bd26`

PPC:
firefox-1.5.0.10-0.1.el4.ppc.rpm	`1da627d9f44db48109bfa18a3f0cc2e5`

s390:
firefox-1.5.0.10-0.1.el4.s390.rpm	`cfb43f8a002a70513d5cfc098884d52e`

s390x:
firefox-1.5.0.10-0.1.el4.s390x.rpm	`32df66e4d963123c0ca4b2cc645de754`

x86_64:
firefox-1.5.0.10-0.1.el4.x86_64.rpm	`2483e1863a431c2ac987cb17c169219a`

Red Hat Enterprise Linux ES (v. 4)

SRPMS:
firefox-1.5.0.10-0.1.el4.src.rpm	`fd579d11e1a502a2173ab1780820a26a`

IA-32:
firefox-1.5.0.10-0.1.el4.i386.rpm	`4cd4889a0517e9f6e78af778756d4a41`

IA-64:
firefox-1.5.0.10-0.1.el4.ia64.rpm	`09bfead1018fad7afc4594a8e8e7bd26`

x86_64:
firefox-1.5.0.10-0.1.el4.x86_64.rpm	`2483e1863a431c2ac987cb17c169219a`

Red Hat Enterprise Linux WS (v. 4)

SRPMS:
firefox-1.5.0.10-0.1.el4.src.rpm	`fd579d11e1a502a2173ab1780820a26a`

IA-32:
firefox-1.5.0.10-0.1.el4.i386.rpm	`4cd4889a0517e9f6e78af778756d4a41`

IA-64:
firefox-1.5.0.10-0.1.el4.ia64.rpm	`09bfead1018fad7afc4594a8e8e7bd26`

x86_64:
firefox-1.5.0.10-0.1.el4.x86_64.rpm	`2483e1863a431c2ac987cb17c169219a`

(The unlinked packages above are only available from the Red Hat Network)

解決法:

このアップデートを適用する前に、システムに関連するリリース済の errata が適用済であることをご確認ください。
それぞれのアーキテクチャで全てのRPMをアップデートするには、以下のコマンドを実行してください：

rpm -Fvh [filename]

[filename] は、アップデートしたいRPMのファイル名です。現在インストールされているパッケージのみ、アップグレードされます。現在いるディレクトリにインストールしたいRPM *しか* 無い場合には、ワイルドカード (*.rpm) も使うことができます。
このアップデートは、Red Hat Network 経由でも行なえます。アップデートを適用する非常に簡便な方法です。Red hat Network をご利用になるには、以下のコマンドで、アップデートエージェントを起動してください。

up2date

このコマンドで、システムに適切なRPMをアップグレードする対話形式のプロセスを起動します。

バグジラ: (詳細は、こちらbugzilla[英語]を御覧ください。)

202352 - Firefox 1.5.0.5 startup script not updated for the add-on based locale
229802 - CVE-2007-0775 Multiple Firefox flaws (CVE-2007-0777, CVE-2007-0995, CVE-2007-0996, CVE-2006-6077, CVE-2007-0778, CVE-2007-0779, CVE-2007-0780, CVE-2007-0800, CVE-2007-0008, CVE-2007-0009, CVE-2007-0981)

参照:

ここに在るパッケージはセキュリティの為、 Red Hat, Inc. によって、 GPG 認証されています。キーは以下から利用可能になっています:
http://www.redhat.com/about/contact.html

各パッケージを確認するには次のコマンドをご利用ください: rpm --checksig filename
各パッケージが壊れていないか、もしくは改ざんされていないかを確認するには、以下のコマンドで MD5 チェックサムをお調べください: rpm --checksig --nogpg filename
注意: GnuPG キーをチェックするためには、RPM 3.0 以上が必要です。

メインリンク:

Links for this section: