JVNDB-2009-001826

複数の Mozilla 製品における CONNECT レスポンスに関する任意の Web スクリプトを実行される脆弱性

複数の Mozilla 製品には、プロキシサーバから 200 以外の CONNECT レスポンスをする際に HTTP ホストヘッダを使用してドキュメント内容を出力するため、中間者攻撃をされ、任意の Web スクリプトを実行される脆弱性が存在します。

Mozilla Foundation

• Mozilla Firefox 3.0.11 未満
• Mozilla SeaMonkey 1.1.17 未満
• Mozilla Thunderbird 2.0.0.22 未満

ミラクル・リナックス

• Asianux Server 4.0 
• Asianux Server 4.0 (x86-64) 

レッドハット

• RHEL Optional Productivity Applications 5 (server) 
• RHEL Optional Productivity Applications EUS 5.3.z (server) 
• Red Hat Enterprise Linux 5 (server) 
• Red Hat Enterprise Linux 3 (as) 
• Red Hat Enterprise Linux 4 (as) 
• Red Hat Enterprise Linux 4.8 (as) 
• Red Hat Enterprise Linux 3 (es) 
• Red Hat Enterprise Linux 4 (es) 
• Red Hat Enterprise Linux 4.8 (es) 
• Red Hat Enterprise Linux 3 (ws) 
• Red Hat Enterprise Linux 4 (ws) 
• Red Hat Enterprise Linux Desktop 3.0 
• Red Hat Enterprise Linux Desktop 4.0 
• Red Hat Enterprise Linux Desktop 5.0 (client) 
• Red Hat Enterprise Linux EUS 5.3.z (server) 
• RHEL Desktop Workstation 5 (client) 

攻撃者により、任意の Web スクリプトを実行される可能性があります。

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Mozilla Foundation

• Mozilla Foundation Security Advisory : MFSA 2009-27
• Mozilla Foundation セキュリティアドバイザリ : MFSA 2009-27

ミラクル・リナックス

• MIRACLE LINUX アップデート情報 : 1730

レッドハット

• Red Hat Security Advisory : RHSA-2009:1126
• Red Hat Security Advisory : RHSA-2009:1095
• レッドハット セキュリティーアップデート : RHSA-2009:1126
• レッドハット セキュリティーアップデート : RHSA-2009:1095

1. 不適切な認証(CWE-287) [NVD評価]

1. CVE-2009-1836

1. National Vulnerability Database (NVD) : CVE-2009-1836
2. Secunia Advisory : SA35440
3. Secunia Advisory : SA35439
4. Secunia Advisory : SA35431
5. Secunia Advisory : SA35331
6. SecurityFocus : 35380
7. SecurityTracker : 1022396
8. VUPEN Security : VUPEN/ADV-2009-1572
9. OPEN SOURCE VULNERABILITY DATABASE (OSVDB) : 55160

• [2009年07月30日]
    掲載