CERT Advisory CA-2006-35 (Technical Cyber Security Alert TA06-312A)
Mozilla Updates for Multiple Vulnerabilities
ต้นฉบับ: http://www.us-cert.gov/cas/techalerts/TA06-312A.html
เรียบเรียงโดย: พุธ นาฑีสุวรรณ

ระบบที่ได้รับผลกระทบ

• Mozilla SeaMonkey
• Mozilla Firefox
• Mozilla Thunderbird
• Netscape web browser
  

กล่าวโดยทั่วไป

โปรแกรมเว็บบราวเซอร์ Mozilla และโปรแกรมที่เกี่ยวข้องรายงานช่องโหว่หลายช่องโหว่ที่เกิดขึ้นและส่งผลกระทบระดับความเสี่ยงสูง เนื่องจากยอมให้ผู้บุกรุกสามารถสั่งรันโปรแกรมได้จากระยะไกลไปยังระบบที่มีช่องโหว่

I. คำอธิบาย

ช่องโหว่หลายช่องโหว่ถูกรายงานว่าพบในโปรแกรมเว็บบราวเซอร์ Mozilla และผลิตภัณฑ์ของ Mozilla ซึ่งทาง Mozilla ได้ทำการประกาศช่องโหว่จำนวน 3 ช่องโหว่ซึ่งมีรายละเอียดดังนี้ :

Mozilla Foundation Security Advisory 2006-67 อธิบายช่องโหว่ที่ผู้บุกรุกสามารถสั่งรันโปรแกรมได้จากระยะไกลผ่านทาง JavaScript มายังโปรแกรม
Firefox Thunderbird และ SeaMonkey ข้อมูลเพิ่มเติมตรวจสอบได้จาก VU#714496

Mozilla Foundation Security Advisory 2006-66 อธิบายช่องโหว่ของ RSA signatures ภายในโปรแกรม
Firefox Thunderbird และ SeaMonkey ข้อมูลเพิ่มเติมตรวจสอบได้จาก VU#335392

Mozilla Foundation Security Advisory 2006-65 อธิบายช่องโหว่จำนวน 3 ช่องโหว่ที่ทำให้เกิด memory corruption ภายในโปรแกรม
Firefox Thunderbird และ SeaMonkey ข้อมูลเพิ่มเติมตรวจสอบได้จาก VU#815432 VU#390480 และ VU#495288

ทุกผลิตภัณฑ์ที่ใช้คอมโพเน้นท์ของ Mozilla โดยเฉพาะโปรแกรม Gecko อาจได้รับผลกระทบจากช่องโหว่หมายเลข VU#714496 VU#815432 VU#390480 และ VU#495288 ด้วย
ทุกโปรแกรมที่ใช้ไลบรารี่ของ Mozilla Network Security Services (NSS) อาจได้รับผลกระทบจากช่องโหว่หมายเลข VU#335392

II. ผลกระทบ

ผลกระทบรุนแรงของช่องโหว่ดังกล่าว ส่งผลให้ผู้บุกรุกสามารถสั่งรันโปรแกรมได้จากระยะไกลด้วยสิทธิของผู้ใช้งานที่ใช้งานโปรแกรมที่มีช่องโหว่
ผลกระทบอื่น ๆ รวมถึงการหลอกลวงด้วยลายเซ็นต์ RSA และ ทำให้ระบบไม่สามารถให้บริการได้
การติดต่อแบบระยะไกล ผู้บุกรุกที่ไม่ได้รับการพิสูจน์ตัวตนสามารถสั่งรันโปรแกรมได้จากระยะไกล อาจเป็นสาเหตุทำให้ระบบไม่สามารถให้บริการได้

การหลอกลวงด้วยลายเซ็นต์ RSA (VU#335392) อนุญาตให้ผู้บุกรุกทำการบุกรุกด้วยกลไกของ TLS/SSL หรือ ใบรับรองของอีเมล์ ซึ่งจะทำให้ไม่ต้องถูกตรวจสอบความถูกต้องของใบรับรองก่อนเข้าใช้งาน ทำให้ผู้บุกรุกสามารถหลอกลวงเว็บไซต์หรือระบบอีเมล์ที่ใช้วิธีตรวจสอบจากใบรับรองเป็นหลักได้

III วิธีแก้ไข

อัพเกรด

อัพเกรดด้วย โปรแกรม Mozilla Firefox 1.5.0.8 โปรแกรม Mozilla Thunderbird 1.5.0.8 และ โปรแกรม SeaMonkey 1.0.6

อ้างอิงจาก Mozilla :

"โปรแกรม Firefox 1.5.0.x จะได้รับการปรับปรุงแก้ไขด้านความเสถียร และ ความปลอดภัย สิ้นสุด ณ วันที่ 24 เมษายน 2550
ผู้ใช้ทุกท่านควรปรับให้เป็นโปรแกรม Firefox 2"

Appendix A. References

• Vulnerability Note VU#714496 - <http://www.kb.cert.org/vuls/id/714496>
• Vulnerability Note VU#335392 - <http://www.kb.cert.org/vuls/id/335392>
• Vulnerability Note VU#815432 - <http://www.kb.cert.org/vuls/id/815432>
• Vulnerability Note VU#390480 - <http://www.kb.cert.org/vuls/id/390480>
• Vulnerability Note VU#495288 - <http://www.kb.cert.org/vuls/id/495288>
• Mozilla Foundation Security Advisories - <http://www.mozilla.org/security/announce/>
• Known Vulnerabilities in Mozilla Products - <http://www.mozilla.org/projects/security/known-vulnerabilities.html>
• Securing Your Web Browser - <http://www.us-cert.gov/reading_room/securing_browser/browser_security.html#Mozilla_Firefox>
• Mozilla Hall of Fame - <http://www.mozilla.org/university/HOF.html>
• Site Controls - <http://browser.netscape.com/ns8/help/options-site.jsp>

หากท่านพบเห็นข้อผิดพลาดหรือมีคำแนะนำ โปรดส่งข้อความของท่านมาที่ thaicert@nectec.or.th ท่านสามารถดาวน์โหลด PGP Public Key ของ ThaiCERT ได้ ในกรณีที่ต้องการเข้ารหัสอี-เมล์