Informations de sécurité / 2012 / Informations sur la sécurité -- DSA-2514-1 iceweasel

Bulletin d'alerte Debian

DSA-2514-1 iceweasel -- Plusieurs vulnérabilités

Date du rapport :

17 juillet 2012

Paquets concernés :

iceweasel

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2012-1948, CVE-2012-1950, CVE-2012-1954, CVE-2012-1966, CVE-2012-1967.

Plus de précisions :

Plusieurs vulnérabilités ont été découvertes dans Iceweasel, un navigateur web basé sur Firefox. La bibliothèque XULRunner incluse fournit des services de rendu pour plusieurs autres applications incluses dans Debian.

• CVE-2012-1948

  Benoit Jacob, Jesse Ruderman, Christian Holler et Bill McCloskey ont identifié plusieurs problèmes de sécurité mémoire qui pourraient conduire à l'exécution de code arbitraire.

• CVE-2012-1950

  Mario Gomes et Code Audit Labs ont découvert qu'il est possible de forcer Iceweasel à afficher l'URL du site visité précédemment grâce à des actions de glisser-déposer dans la barre d'adresse. Cela pourrait être détourné pour réaliser des attaques de type hameçonnage.

• CVE-2012-1954

  Abhishek Arya a découvert un problème d'utilisation de mémoire après libération dans nsDocument::AdoptNode qui pourrait conduire à l'exécution de code arbitraire.

• CVE-2012-1966

  moz_bug_r_a4 a découvert qu'il est possible de réaliser des attaques par script intersite grâce au menu contextuel quand les URL data: sont utilisées.

• CVE-2012-1967

  moz_bug_r_a4 a découvert que dans certains cas, les URL javascript: peuvent être exécutées de façon à ce que les scripts puissent s'échapper du bac à sable (sandbox) JavaScript et s'exécuter avec des privilèges élevés. Cela peut conduire à l'exécution de code arbitraire.

Note : nous recommandons aux utilisateurs de la version 3.5 d'Iceweasel fournie dans la branche stable de Debian d'envisager la mise à niveau vers la version 10.0 ESR (Extended Support Release) qui est maintenant disponible dans les rétroportages Debian. Même si Debian continuera la prise en charge d'Iceweasel 3.5 dans la branche stable avec les mises à jour de sécurité, cela ne peut être fait qu'au mieux de nos moyens puisque l'amont n'assure plus de prise en charge. De plus, la branche 10.0 ajoute au navigateur des fonctionnalités de sécurité proactives.

Pour la distribution stable (Squeeze), ce problème a été corrigé dans la version 3.5.16-17.

Pour la distribution unstable (Sid), ce problème a été corrigé dans la version 10.0.6esr-1.

Nous vous recommandons de mettre à jour vos paquets iceweasel.