Mehrere entfernt ausnutzbare Verwundbarkeiten wurden in der
Iceape-Internet-Suite entdeckt, einer wegen Markenproblemen
umbenannten Version der Seamonkey-Internet-Suite. Das Common
Vulnerabilities and Exposures
-Projekt identifiziert die folgenden
Probleme:
Nicolas Derouet entdeckte, dass Iceape eine unzureichende Überprüfung
von Cookies duchführt, was zu einer Diensteverweigerung (denial of
service
) führen kann.
Gatan Leurent entdeckte eine kryptografische Schwäche in der APOP-Authentifizierung, die die nötigen Anstrengungen für einen MITM-Angriff, um ein Passwort abzufangen, reduziert. Die Aktualisierung erzwingt eine strengere Überprüfung, was diesen Angriff verhindert.
Boris Zbarsky, Eli Friedman, Georgi Guninski, Jesse Ruderman, Martijn Wargers und Olli Pettay entdeckten Abstürze in der Layout-Engine, die die Ausführung beliebigen Codes ermöglichen könnten.
Brendan Eich, Igor Bukanov, Jesse Ruderman, moz_bug_r_a4
und Wladimir Palant
entdeckten Abstürze in der Javascript-Engine, die die Ausführung beliebigen
Codes ermöglichen könnten.
moz_bug_r_a4
entdeckte, dass das Hinzufügen eines
Ereignis-Listeners (Lauschers) mittels der Funktion addEventListener()
Site-übergreifendes Skripting ermöglicht.
Chris Thomas entdeckte, dass XUL-Popups für Spoofing- oder Phishing-Angriffe missbraucht werden können.
Korrekturen für die alte Stable-Distribution (Sarge) sind nicht verfügbar. Obwohl es eine weitere Runde von Sicherheitsaktualisierungen für Mozilla-Produkte geben wird, hat Debian nicht die Ressourcen, weitere Sicherheitskorrekturen auf die alten Mozilla-Produkte zurückzuportieren. Es wird dringendst empfohlen, so schnell wie möglich auf Stable zu aktualisieren.
Für die Stable-Distribution (Etch) wurden diese Probleme in Version 1.0.9-0etch1 behoben. Ein Build für die Arm-Architektur ist noch nicht verfügbar, wird aber später bereitgestellt.
Für die Unstable-Distribution (Sid) werden diese Probleme bald behoben sein.
Wir empfehlen Ihnen, Ihre iceape-Pakete zu aktualisieren.
MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.