CERT Advisory CA-2006-39 (Technical Cyber Security Alert TA06-354A)
Mozilla Updates for Multiple Vulnerabilities
ต้นฉบับ: http://www.us-cert.gov/cas/techalerts/TA06-354A.html
เรียบเรียงโดย: พุธ นาฑีสุวรรณ

ระบบที่ได้รับผลกระทบ

• Mozilla SeaMonkey
• Mozilla Firefox
• Mozilla Thunderbird
• Netscape web browser

ผลิตภัณฑ์อื่นที่มีส่วนประกอบของ Mozilla อาจได้รับผลกระทบนี้ด้วย

กล่าวโดยทั่วไป

โปรแกรมเว็บบราวเซอร์ Mozilla และโปรแกรมที่เกี่ยวข้อง รายงานช่องโหว่หลายช่องโหว่ที่เกิดขึ้นและส่งผลกระทบระดับความเสี่ยงสูง เนื่องจากยอมให้ผู้บุกรุกสามารถสั่งรันโปรแกรมได้จากระยะไกลไปยังระบบที่มีช่องโหว่

I. คำอธิบาย

Mozilla ได้ทำการประกาศโปรแกรม Firefox โปรแกรม Thunderbird และ โปรแกรม SeaMonkey เวอร์ชันใหม่เพื่อแก้ไขปัญหาช่องโหว่หลายช่องโหว่
ข้อมูลเพิ่มเติมเกี่ยวกับช่องโหว่ที่เกี่ยวข้องสามารถอ่านได้จาก Mozilla และ Vulnerability Notes Database
ผู้บุกรุกสามารถใช้ประโยชน์จากช่องโหว่เหล่านั้นโดยการหลอกล่อให้ผู้ใช้งานเปิดเอกสาร HTML ที่สร้างขึ้นมาเป็นพิเศษ เช่น หน้าเว็บเพจ หรือข้อความอีเมลในรูปแบบ HTML เป็นต้น

II. ผลกระทบ

ผลกระทบรุนแรงของช่องโหว่ดังกล่าว ส่งผลให้ผู้บุกรุกสามารถสั่งรันโปรแกรมได้จากระยะไกลด้วยสิทธิของผู้ใช้งานที่ใช้งานโปรแกรมที่มีช่องโหว่ และทำให้ระบบไม่สามารถให้บริการได้

III วิธีแก้ไข

อัพเกรด

อัพเกรดด้วยโปรแกรม Mozilla Firefox 1.5.0.9 โปรแกรม Mozilla Firefox 2.0.0.1 โปรแกรม Mozilla Thunderbird 1.5.0.9 และโปรแกรม SeaMonkey 1.0.7
ซึ่งโปรแกรมเหล่านี้สามารถตรวจสอบและปรับปรุงเวอร์ชันได้โดยอัตโนมัติ

การให้ความสนับสนุนกับโปรแกรม Firefox 1.5 มีกำหนดหยุดการให้ความช่วยเหลือภายในเดือน เมษายน 2550 ข้อความอ้างอิงจาก Mozilla

"โปรแกรม Firefox 1.5.0.x จะได้รับการปรับปรุงแก้ไขด้านความเสถียร และความปลอดภัย สิ้นสุด ณ วันที่ 24 เมษายน 2550
ผู้ใช้ทุกท่านควรปรับให้เป็นโปรแกรม Firefox 2"

ยกเลิกการใช้ JavaScript และ Java

ช่องโหว่ต่างๆ ที่พบสามารถลดความรุนแรงได้โดยการยกเลิกการใช้งาน JavaScript และ Java ข้อมูลเพิ่มเติมเกี่ยวกับการตั้งค่าคอนฟิกกูเรชันของ Firefox
สามารถอ่านเพิ่มเติมได้จากเอกสาร "Securing Your Web Browser" ส่วนผู้ใช้งาน Netscape ควรอ่านรายละเอียดเพิ่มเติมในส่วนของ "Site Controls"

โปรแกรม Thunderbird โดยปกติจะมีการยกเลิก JavaScript และ Java ไว้แล้ว

Appendix A. References

• US-CERT Vulnerability Notes - <http://www.kb.cert.org/vuls/byid?searchview&query=mozilla_20061219>
• Securing Your Web Browser - <http://www.us-cert.gov/reading_room/securing_browser/browser_security.html#Mozilla_Firefox>
• Mozilla Foundation Security Advisories - <http://www.mozilla.org/security/announce/>
• Known Vulnerabilities in Mozilla Products - <http://www.mozilla.org/projects/security/known-vulnerabilities.html>
• Mozilla Hall of Fame - <http://www.mozilla.org/university/HOF.html>
• Site Controls - <http://browser.netscape.com/ns8/help/options-site.jsp>

หากท่านพบเห็นข้อผิดพลาดหรือมีคำแนะนำ โปรดส่งข้อความของท่านมาที่ thaicert@nectec.or.th ท่านสามารถดาวน์โหลด PGP Public Key ของ ThaiCERT ได้ ในกรณีที่ต้องการเข้ารหัสอี-เมล์