Mehrere Probleme wurden in Mozilla entdeckt, dem Webbrowser der Mozilla-Suite. Da die übliche Praxis der Rückportierung bei diesem Paket anscheinend nicht funktioniert, ist diese Aktualisierung im Grunde Version 1.7.10, allerdings mit einer zurückgestuften Versionsnummer, weshalb sie immer noch als 1.7.8 benannt ist. Das »Common Vulnerabilities and Exposures project« legt die folgenden Probleme fest:
Eine Verwundbarkeit wurde in Mozilla entdeckt, die entfernten Angreifern ermöglicht, beliebigen Javascript-Code aus einer Seite in das Frameset einer anderen Seite einzuschleusen.
Die Benutzerschnittstelle des Browsers unterscheidet nicht korrekt zwischen Ereignissen, die durch den Benutzer entstehen und solchen, die synthetisch entstehen und nicht vertrauenswürdig sind. Dadurch wird es für entfernte Angreifer leichter, gefährliche Aktionen durchzuführen, die normalerweise nur manuell vom Benutzer durchgeführt werden können.
XML-Skripte liefen selbst dann, wenn Javascript ausgeschaltet war.
Es ist für einen entfernten Angreifer möglich, eine Callback-Funktion innerhalb des Kontexts einer anderen Domain (d.h. Frame) auszuführen.
Fehlende Entschärfung der Eingabe in der Funktion InstallVersion.compareTo() kann den Absturz der Applikation verursachen.
Entfernte Angreifer können vertrauchliche Informationen wie Cookies und Passwörter von Webseiten stehlen, indem sie auf Daten in fremden Frames zugreifen.
Es ist für ein JavaScript-Dialogfenster möglich, das Dialogfenster einer vertrauenswürdigen Seite nachzuahmen und dadurch Phishing-Angriffe zu erleichtern.
Entfernte Angreifer können bestimmte Tag-Eigenschaften von DOM-Knoten ändern und dadurch beliebige Skripts oder Code ausführen.
Die Mozilla Browserfamilie kloniert Basisobjekte nicht korrekt, wodurch entfernte Angreifer beliebigen Code ausführen können.
Für die Stable-Distribution (Sarge) wurden diese Probleme in Version 1.7.8-1sarge2 behoben.
Für die Unstable-Distribution (Sid) wurden diese Probleme in Version 1.7.10-1 behoben.
Wir empfehlen Ihnen, Ihre Mozilla-Pakete zu aktualisieren.
MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.