複数のリモートから攻撃可能な脆弱性が、XUL アプリケーションのランタイム環境である Xulrunner に発見されました。Common Vulnerabilities and Exposures プロジェクトでは以下の問題を認識しています:
moz_bug_r_a4
さんは、アドオンから使われる about:blank
ウィンドウの処理に、攻撃者がウェブサイトの内容を改変可能になる可能性があるリグレッションを見つけました。
Jesper Johansson さんは、外部プログラムに URI を渡す際に、ダブルクォートと空白に対するサニタイズ処理が欠落しており、 ユーザが騙されて細工を施したウェブページを開いた際に、 攻撃者が補助プログラムに任意の引数を渡せてしまう可能性があるのを発見しました。
旧安定版ディストリビューション (oldstable、コードネーム sarge) には xulrunner は含まれていません。
安定版ディストリビューション (stable、コードネーム etch) では、 これらの問題はバージョン 1.8.0.13~pre070720-0etch3 で修正されています。
不安定版ディストリビューション (unstable、コードネーム sid) では、 これらの問題はバージョン 1.8.1.6-1 で修正されています。
xulrunner パッケージのアップグレードをお勧めします。
一覧にあるファイルの MD5 チェックサムは勧告の原文にあります。