Multiplas vulnerabilidades em produtos Mozilla

Post by **07_Phantom** » 09 Feb 2006 15:41

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

Prezados,

O CAIS esta' repassando o alerta do US-CERT, intitulado "TA06-038A - Multiple Vulnerabilities in Mozilla Products", que trata de multiplas vulnerabilidades em produtos Mozilla.

As vulnerabilidades mais graves descobertas nos produtos Mozilla podem permitir a execucao remota de codigo no sistema afetado, a inducao a uma condicao de negacao de servico ou mesmo ao acesso nao autorizado `a informacoes no sistema vulneravel.

E' bom lembrar que desde 07/02 ja' foram divulgados dois exploits que afetam uma vulnerabilidade do Firefox 1.5 e versoes anteriores (CVE-2006-0295). Esta vulnerabilidade foi considerada critica, pois causa corrompimento de memoria e pode ser explorada para execucao de codigo arbitrario.

Sistemas afetados:

. Versoes do Mozilla Suite anteriores a 1.7.12 . Versoes do Firefox anteriores a 1.5.0.1 . Versoes do Thunderbird anteriores a 1.5

Correcoes disponiveis:

Recomenda-se fazer a atualizacao para as versoes disponiveis em:

. Mozilla Suite 1.7.12
http://www.mozilla.org/products/mozilla1.x/

. Mozilla Firefox 1.5.0.1
http://www.mozilla.com/firefox/

. Mozilla Thunderbird 1.5
http://www.mozilla.com/thunderbird/

. Mozilla.org SeaMonkey 1.0 (novo projeto lancado em 30/01)
http://www.mozilla.org/projects/seamonkey/

Mais informacoes:

. TA06-038A - Multiple Vulnerabilities in Mozilla Products
http://www.us-cert.gov/cas/techalerts/TA06-038A.html

. Mozilla Foundation Security Advisories - Fixed in Firefox 1.5.0.1
http://www.mozilla.org/projects/securit ... ml#Firefox

. Mozilla Foundation Security Advisories - Fixed in Fixed in Mozilla 1.7.12
http://www.mozilla.org/projects/securit ... ml#Mozilla

. Mozilla Foundation Security Advisories - Fixed in Fixed in Fixed in Thunderbird 1.0.7
http://www.mozilla.org/projects/securit ... hunderbird

. Mozilla Firefox 1.5 location.QueryInterface() Code Execution (linux)
http://www.milw0rm.com/id.php?id=1474

. Mozilla Firefox 1.5 location.QueryInterface() Code Execution (osx)
http://www.milw0rm.com/id.php?id=1480

Identificador CVE (http://www.cve.mitre.org):
CVE-2005-4134,CVE-2006-0292,CVE-2006-0293,CVE-2006-0294,CVE-2006-0295,
CVE-2006-0296,CVE-2006-0297,CVE-2006-0298,CVE-2006-0299

O CAIS recomenda que os administradores mantenham seus sistemas e aplicativos sempre atualizados, de acordo com as ultimas versoes e correcoes oferecidas pelos fabricantes.

O CAIS Alerta tambem e' oferecido no formato RSS/RDF:

http://www.rnp.br/cais/alertas/rss.xml

Atenciosamente,

################################################################
# CENTRO DE ATENDIMENTO A INCIDENTES DE SEGURANCA (CAIS) #
# Rede Nacional de Ensino e Pesquisa (RNP) #
# #
# [email protected] http://www.cais.rnp.br #
# Tel. 019-37873300 Fax. 019-37873301 #
# Chave PGP disponivel http://www.rnp.br/cais/cais-pgp.key #
################################################################

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.2 (GNU/Linux)
Comment: pgpenvelope 2.10.2 - http://pgpenvelope.sourceforge.net/

iQCVAwUBQ+s+d+kli63F4U8VAQJ4xAQArLlofE3Rmzg3dPUKP/wK+zgnUoUhYdeQ
bcac7xmC8hSjBXP4XR/09ryoQYqamU54rC6lSrzwR2YkvgpJUzUbyWeoORTBFEvW
yVXv5nf2xkE69n+pSbMR9gXHEuuZRDLl+yeTPXM8ziWH+wEZPsiLmfg6hktCzWon
R00M62WuRZg=
=Mv9c
-----END PGP SIGNATURE-----

--
Para SAIR da lista rnp-alerta envie uma mensagem em branco para:

<[email protected]>

Post by **28_Condor** » 09 Feb 2006 15:55

S!

Pode até ser verdade o aviso, mas essas coisas mais parece puxasaquismo do tio Bill...

Eu não usava o IE há tempos aqui no trampo, aí anteontem fiz a besteira de abrir e-mail UMA UNICA VEZ nele, e já pegou vírus

Coisa que não acontecia desde que passei a usar o FF

Ainda bem que aqui tem o VirusScan que pegou no ato, se fosse em casa o AVG passava batido...

SP!

Post by **07_Phantom** » 09 Feb 2006 15:58

Condor,

o CAIS é o centro de atendimento a incidentes de segurança da Rede Nacional de Pesquisa e envia vulnerabilidades de todos os softwares, inclusive windows e, até onde eu vejo, não é tendecioso.

Em tempo, segurança é uma meta não um estado. Se algum dia alguém, algum software ou algum hardware lhe prometer segurança total, tenha certeza que está sendo enganado.

Post by **28_Condor** » 09 Feb 2006 19:39

S!

Ok, PH, forçei a comparação, realmente :s:

Mas para ver que o pessoal do Mozilla não dorme no ponto, o proprio FF baixou e instalou essa nova versao 1.5.0.1, sem que eu nem percebesse

Verifiquem o seu, para ver se o FF já não baixou a versao nova :ok

SP!

Post by **07_Phantom** » 09 Feb 2006 20:49

Sim, já baixou mas, por exemplo, o thunderbird não.

Postei para conhecimento e para o povo que recusou a update ou não atualizou outro programa qq da família mozilla

Sem crise . . .