JVNDB-2010-001208

複数の Mozilla 製品におけるクロスサイトスクリプティングの脆弱性

複数の Mozilla 製品には、同一生成元を越えたキーストロークをキャプチャされ、クロスサイトスクリプティング攻撃を実行される脆弱性が存在します。
本脆弱性は、CVE-2007-3736 に対する修正が不十分だったことによる脆弱性です。

Mozilla Foundation

• Mozilla Firefox 3.6.2 未満
• Mozilla Firefox 3.5.8 未満
• Mozilla Firefox 3.0.18 未満
• Mozilla SeaMonkey 2.0.3 未満
• Mozilla Thunderbird 3.0.2 未満

レッドハット

• RHEL Optional Productivity Applications 5 (server) 
• RHEL Optional Productivity Applications EUS 5.4.z (server) 
• Red Hat Enterprise Linux 5 (server) 
• Red Hat Enterprise Linux 3 (as) 
• Red Hat Enterprise Linux 4 (as) 
• Red Hat Enterprise Linux 4.8 (as) 
• Red Hat Enterprise Linux 3 (es) 
• Red Hat Enterprise Linux 4 (es) 
• Red Hat Enterprise Linux 4.8 (es) 
• Red Hat Enterprise Linux 3 (ws) 
• Red Hat Enterprise Linux 4 (ws) 
• Red Hat Enterprise Linux Desktop 3.0 
• Red Hat Enterprise Linux Desktop 4.0 
• Red Hat Enterprise Linux Desktop 5.0 (client) 
• Red Hat Enterprise Linux EUS 5.4.z (server) 
• RHEL Desktop Workstation 5 (client) 

addEventListener 関数、または setTimeout 関数を使用されることで、同一生成元を越えたキーストロークをキャプチャされ、クロスサイトスクリプティング攻撃を実行される可能性があります。

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Mozilla Foundation

• Mozilla Foundation Security Advisory : MFSA 2010-12
• Mozilla Foundation セキュリティアドバイザリ : MFSA 2010-12

レッドハット

• Red Hat Security Advisory : RHSA-2010:0112
• Red Hat Security Advisory : RHSA-2010:0113
• Red Hat Security Advisory : RHSA-2010:0153
• Red Hat Security Advisory : RHSA-2010:0154

1. クロスサイトスクリプティング(CWE-79) [NVD評価]

1. CVE-2010-0171

1. National Vulnerability Database (NVD) : CVE-2010-0171
2. Secunia Advisory : SA38608
3. SecurityFocus : 38946
4. VUPEN Security : VUPEN/ADV-2010-0692

• [2010年04月05日]
    掲載