Sistemas Afectados

1. Descripción

   Debian liberó una actualización para mozilla-firefox. Esta repara varias vulnerabilidades que pueden explotarse por personas maliciosas para burlar ciertas restricciones de seguridad, realizar ataques de Cross-site Scripting y spoofing, además de comprometer el sistema de un usuario.

   1. La interfaz para el usuario del navegador no distingue adecudamente entre eventos generados por el usuario y eventos simulados no confiables, lo que permitiría a atacantes remotos realizar acciones maliosas que normalmente solo podrián realizarse manualmente por el usuario.(CAN-2005-2260)

   2. Scripts XML corren incluso cuando Javascript ha sido deshabilitado.(CAN-2005-2261)

   3. Puede engañarse a un usuario, para ejecutar código JavaScript arbitrario, utilizando una URL JavaScript como wallpaper.(CAN-2005-2262)

   4. Un atacante remoto pued ejecutar una función callback dentro del contexto de otro dominio.(CAN-2005-2263)

   5. Es posible que un atacante remoto robe información sensible via un link malicioso abierto en la sidebar.(CAN-2005-2264)

   6. La falta de verificación en InstallVersion.compareTo() puede ocasionar que la aplicación se caíga.(CAN-2005-2265)

   7. Atacantes remotos pueden robar información sensible tal como cookies y contraseñas desde sitios web accesando a datos dentro de un marco externo.(CAN-2005-2266)

   8. Utilizando aplicaciones Standalone como Flash y QuickTime para abrir una URL de JavaScript, es posible que un atacante remoto robe información sensible y posiblemente ejecute código arbitrario.

   9. Es posible que una caja de dialogo de JavaScript tome el lugar de un cuadro de dialogo de un sitio legítimo y facilite ataques de phising.(CAN-2005-2268)

   10. Atacantes remotos pueden modificar ciertas etiquetas de propiedades de nodos DOM con lo que podrián ejecutar código arbitrario o scripts.(CAN-2005-2269)

   11. La familia de navegadores de Mozilla no clona apropiadamente objetos base, lo que permitiría que atacantes remotos ejecuten código arbitrario(CAN-2005-2270)

2. Impacto

   Security Bypass

   Cross-site Scripting

   Spoofing

   Acceso al sistema.

3. Solución

   Aplicar las actualizaciones correspondientes:

   -- Debian GNU/Linux 3.1 (sarge) --

   Source:

   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox_1.0.4-2sarge2.dsc
   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox_1.0.4-2sarge2.diff.gz
   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox_1.0.4.orig.tar.gz
   

   Alpha:

   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox_1.0.4-2sarge2_alpha.deb
   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox-dom-inspector_1.0.4-2sarge2_alpha.deb
   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox-gnome-support_1.0.4-2sarge2_alpha.deb
   

   AMD64:

   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox_1.0.4-2sarge2_amd64.deb
   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox-dom-inspector_1.0.4-2sarge2_amd64.deb
   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox-gnome-support_1.0.4-2sarge2_amd64.deb
   

   ARM:

   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox_1.0.4-2sarge2_arm.deb
   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox-dom-inspector_1.0.4-2sarge2_arm.deb
   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox-gnome-support_1.0.4-2sarge2_arm.deb
   

   Intel IA-32:

   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox_1.0.4-2sarge2_i386.deb
   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox-dom-inspector_1.0.4-2sarge2_i386.deb
   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox-gnome-support_1.0.4-2sarge2_i386.deb
   

   Intel IA-64:

   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox_1.0.4-2sarge2_ia64.deb
   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox-dom-inspector_1.0.4-2sarge2_ia64.deb
   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox-gnome-support_1.0.4-2sarge2_ia64.deb
   

   HPPA:

   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox_1.0.4-2sarge2_hppa.deb
   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox-dom-inspector_1.0.4-2sarge2_hppa.deb
   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox-gnome-support_1.0.4-2sarge2_hppa.deb
   

   Motorola 680x0:

   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox_1.0.4-2sarge2_m68k.deb
   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox-dom-inspector_1.0.4-2sarge2_m68k.deb
   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox-gnome-support_1.0.4-2sarge2_m68k.deb
   

   Big endian MIPS:

   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox_1.0.4-2sarge2_mips.deb
   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox-dom-inspector_1.0.4-2sarge2_mips.deb
   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox-gnome-support_1.0.4-2sarge2_mips.deb
   

   Little endian MIPS:

   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox_1.0.4-2sarge2_mipsel.deb
   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox-dom-inspector_1.0.4-2sarge2_mipsel.deb
   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox-gnome-support_1.0.4-2sarge2_mipsel.deb
   

   PowerPC:

   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox_1.0.4-2sarge2_powerpc.deb
   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox-dom-inspector_1.0.4-2sarge2_powerpc.deb
   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox-gnome-support_1.0.4-2sarge2_powerpc.deb
   

   IBM S/390:

   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox_1.0.4-2sarge2_s390.deb
   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox-dom-inspector_1.0.4-2sarge2_s390.deb
   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox-gnome-support_1.0.4-2sarge2_s390.deb
   

   Sun Sparc:

   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox_1.0.4-2sarge2_sparc.deb
   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox-dom-inspector_1.0.4-2sarge2_sparc.deb
   http://security.debian.org/pool/updates/main/m/mozilla-firefox/mozilla-firefox-gnome-support_1.0.4-2sarge2_sparc.deb
   

4. Apéndices

   Mayor información.

   http://www.debian.org/

La Coordinación de Seguridad de la Información/UNAM-CERT agradece el apoyo en la elaboración ó traducción y revisión de éste Documento a:

• Floriberto López Velázquez (flopez at seguridad dot unam dot mx)