Alert GCSA-06010 - Varie vulnerabilita' per i prodotti Mozilla

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1


******************************************************************

        Alert ID: GCSA-06010
        Data di creazione: 18 Aprile 2006
        Titolo: Varie vulnerabilita' per i prodotti Mozilla

******************************************************************


1) Descrizione del problema:

   Mozilla Foundation ha rilasciato vari avvisi di sicurezza relativi a 
vulnerabilita' scoperte nei prodotti Mozilla web browser, Mozilla email 
application, Firefox web browser, Thunderbird email application e nelle suite 
Mozilla Suite e SeaMonkey.

   Alcune di queste vulnerabilita' riguardano il modo in cui tali applicazioni 
gestiscono url ed immagini; cio' rende possibile per un attaccante causare il 
crash dell'applicazione o prendere il controllo del computer della vittima 
convincendo l'utente ad aprire una pagina di un sito web malevolo o un 
messaggio e-mail.

   In aggiunta agli avvisi di sicurezza rilasciati da Mozilla Foundation 
(http://www.mozilla.org/security/announce/) sono disponibili per ogni singola 
vulnerabilita' informazioni tecniche dettagliate (fonte US-CERT Vulnerability 
Notes):

    VU#932734 - Mozilla crypto.generateCRMFRequest() vulnerability
    http://www.kb.cert.org/vuls/id/932734
    (CVE-2006-1728)

    VU#968814 - Mozilla JavaScript security bypass vulnerability
    http://www.kb.cert.org/vuls/id/968814
    (CVE-2006-1726)

    VU#179014 - Mozilla CSS integer overflow vulnerability
    http://www.kb.cert.org/vuls/id/179014
    (CVE-2006-1730)

    VU#488774 - Mozilla XBL binding vulnerability
    http://www.kb.cert.org/vuls/id/488774
    (CVE-2006-1733)

    VU#842094 - Mozilla JavaScript cloned parent vulnerability
    http://www.kb.cert.org/vuls/id/842094
    (CVE-2006-1734)

    VU#813230 - Mozilla products vulnerable to privilege escalation via XBL.method.eval
    http://www.kb.cert.org/vuls/id/813230
    (CVE-2006-1735)

    VU#736934 - Mozilla products vulnerable to memory corruption via a particular sequence of HTML tags
    http://www.kb.cert.org/vuls/id/736934
    (CVE-2006-0749)

    VU#935556 - Mozilla products may allow CSS border-rendering code to write past the end of an array
    http://www.kb.cert.org/vuls/id/935556
    (CVE-2006-1739)

    VU#350262 - Mozilla DHTML memory corruption vulnerabilities
    http://www.kb.cert.org/vuls/id/350262
    (CVE-2006-1724)

    VU#252324 - Mozilla display style vulnerability
    http://www.kb.cert.org/vuls/id/252324

    VU#329500 - Mozilla products vulnerable to memory corruption via large regular expression in JavaScript
    http://www.kb.cert.org/vuls/id/329500


2) Piattaforme interessate:

      Mozilla web browser, email e newsgroup client
      Mozilla SeaMonkey
      Firefox web browser
      Thunderbird email client
      Mozilla Suite


3) Impatto:

   Le vulnerabilita' descritte permettono ad un attaccante remoto di:

     - eseguire codice arbitrario nel contesto dell'applicazione vulnerabile
     - mandare in crash l'applicazione
     - ottenere pieni privilegi nell'esecuzione di codice JavaScript, sfruttabili per installare malware
     - ottenere l'accesso ad informazioni sensibili
     - aggirare i controlli di sicurezza
     - falsificare i contenuti web di una finestra


4) Soluzioni:

Aggiornare i prodotti alle ultime versioni:

      Mozilla Firefox versione 1.5.0.2
      Mozilla Thunderbird versione 1.5.0.2
      Mozilla Suite versione 1.7.13
      Mozilla SeaMonkey versione 1.0.1


5) Riferimenti:

      Mozilla Foundation Security Advisories -
      http://www.mozilla.org/security/announce/

      US-CERT Technical Cyber Security Alert TA06-107A -
      http://www.us-cert.gov/cas/techalerts/TA06-107A.html>

      US-CERT Vulnerability Notes Related to April Mozilla Security Advisories
      http://www.kb.cert.org/vuls/byid?searchview&query=mozilla_April_2006

      Firefox - Rediscover the Web -
      http://www.mozilla.com/firefox/

      Thunderbird - Reclaim your inbox -
      http://www.mozilla.com/thunderbird/

      Mozilla Suite - The All-in-One Internet Application Suite -
      http://www.mozilla.org/products/mozilla1.x/

      Securing Your Web Browser -
      http://www.us-cert.gov/reading_room/securing_browser/browser_security.html#Mozilla_Firefox

-----BEGIN PGP SIGNATURE-----

iQCVAwUBREUK8vOB+SpikaiRAQJP8gP+M3b739FwrlXEfZ8QQHZSAsgCWgZooSXw
IKwZLhqxRz+iQQfxHGnRJS3hfLKO1egBmENE3ItAOOblWspBfngq/3ksoe0Rhz92
AXOVHZHT50xFivySwMMdSYcDzYRVQUGdrb+tpC7S6HHhh64dkr5fwwkQUMkESxQy
+omspsWw9Fc=
=IkUt
-----END PGP SIGNATURE-----