CERTA-2012-AVI-047
Vulnerability from certfr_avis

Plusieurs vulnérabilités corrigées dans les produits Mozilla peuvent être exploitées pour contourner la politique de sécurité, injecter du code indirectement à distance, ou exécuter du code arbitraire à distance.

Description

Plusieurs vulnérabilités ont été corrigées dans les produits de la gamme Mozilla :

  • plusieurs problèmes de corruption mémoire peuvent être exploités pour exécuter du code arbitraire à distance (CVE-2012-0442, 443 et 449) ;
  • un problème dans l'interprétation des adresses réticulaires peut être exploité dans certaines circonstances pour divulguer des informations sur la navigation (CVE-2011-3670) ;
  • un problème dans la gestion des noms de fenêtre peut être exploité pour remplacer des fenêtres par d'autres (CVE-2012-0445) ;
  • un problème d'utilisation d'un pointeur après sa libération peut être exploité pour exécuter du code arbitraire à distance (CVE-2011-3659) ;
  • un manquement dans le contrôle de sécurité entre les fenêtres peut être exploité pour une injection de code indirecte à distance (CVE-2012-0446) ;
  • un problème dans la gestion des tailles d'icône peut être exploité pour contourner la politique de sécurité (CVE-2012-0447) ;
  • un problème de corruption mémoire lors de la lecture de fichiers Ogg Vorbis peut être exploité pour exécuter du code arbitraire à distance (CVE-2012-0444) ;
  • un problème de droits lors de l'exportation de la clef Firefox Sync sur les systèmes Linux et MacOS peut être exploité pour contourner la politique de sécurité (CVE-2012-0450).

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

None
Impacted products
Vendor Product Description
Mozilla N/A Seamonkey versions antérieures à 2.7.
Mozilla Firefox Firefox versions antérieures à 10.0 ;
Mozilla Firefox Firefox versions antérieures à 3.6.26 ;
Mozilla Thunderbird Thunderbird versions antérieures à 10.0 ;
Mozilla Thunderbird Thunderbird versions antérieures à 3.1.18 ;
References

Show details on source website

To clipboard 

{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [
    {
      "description": "Seamonkey versions ant\u00e9rieures \u00e0 2.7.",
      "product": {
        "name": "N/A",
        "vendor": {
          "name": "Mozilla",
          "scada": false
        }
      }
    },
    {
      "description": "Firefox versions ant\u00e9rieures \u00e0 10.0 ;",
      "product": {
        "name": "Firefox",
        "vendor": {
          "name": "Mozilla",
          "scada": false
        }
      }
    },
    {
      "description": "Firefox versions ant\u00e9rieures \u00e0 3.6.26 ;",
      "product": {
        "name": "Firefox",
        "vendor": {
          "name": "Mozilla",
          "scada": false
        }
      }
    },
    {
      "description": "Thunderbird versions ant\u00e9rieures \u00e0 10.0 ;",
      "product": {
        "name": "Thunderbird",
        "vendor": {
          "name": "Mozilla",
          "scada": false
        }
      }
    },
    {
      "description": "Thunderbird versions ant\u00e9rieures \u00e0 3.1.18 ;",
      "product": {
        "name": "Thunderbird",
        "vendor": {
          "name": "Mozilla",
          "scada": false
        }
      }
    }
  ],
  "affected_systems_content": null,
  "content": "## Description\n\nPlusieurs vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 corrig\u00e9es dans les produits de la gamme\nMozilla :\n\n-   plusieurs probl\u00e8mes de corruption m\u00e9moire peuvent \u00eatre exploit\u00e9s\n    pour ex\u00e9cuter du code arbitraire \u00e0 distance (CVE-2012-0442, 443\n    et 449) ;\n-   un probl\u00e8me dans l\u0027interpr\u00e9tation des adresses r\u00e9ticulaires peut\n    \u00eatre exploit\u00e9 dans certaines circonstances pour divulguer des\n    informations sur la navigation (CVE-2011-3670) ;\n-   un probl\u00e8me dans la gestion des noms de fen\u00eatre peut \u00eatre exploit\u00e9\n    pour remplacer des fen\u00eatres par d\u0027autres (CVE-2012-0445) ;\n-   un probl\u00e8me d\u0027utilisation d\u0027un pointeur apr\u00e8s sa lib\u00e9ration peut\n    \u00eatre exploit\u00e9 pour ex\u00e9cuter du code arbitraire \u00e0 distance\n    (CVE-2011-3659) ;\n-   un manquement dans le contr\u00f4le de s\u00e9curit\u00e9 entre les fen\u00eatres peut\n    \u00eatre exploit\u00e9 pour une injection de code indirecte \u00e0 distance\n    (CVE-2012-0446) ;\n-   un probl\u00e8me dans la gestion des tailles d\u0027ic\u00f4ne peut \u00eatre exploit\u00e9\n    pour contourner la politique de s\u00e9curit\u00e9 (CVE-2012-0447) ;\n-   un probl\u00e8me de corruption m\u00e9moire lors de la lecture de fichiers Ogg\n    Vorbis peut \u00eatre exploit\u00e9 pour ex\u00e9cuter du code arbitraire \u00e0\n    distance (CVE-2012-0444) ;\n-   un probl\u00e8me de droits lors de l\u0027exportation de la clef Firefox Sync\n    sur les syst\u00e8mes Linux et MacOS peut \u00eatre exploit\u00e9 pour contourner\n    la politique de s\u00e9curit\u00e9 (CVE-2012-0450).\n\n## Solution\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 de l\u0027\u00e9diteur pour l\u0027obtention des\ncorrectifs (cf. section Documentation).\n",
  "cves": [
    {
      "name": "CVE-2012-0449",
      "url": "https://www.cve.org/CVERecord?id=CVE-2012-0449"
    },
    {
      "name": "CVE-2012-0442",
      "url": "https://www.cve.org/CVERecord?id=CVE-2012-0442"
    },
    {
      "name": "CVE-2012-0444",
      "url": "https://www.cve.org/CVERecord?id=CVE-2012-0444"
    },
    {
      "name": "CVE-2012-0447",
      "url": "https://www.cve.org/CVERecord?id=CVE-2012-0447"
    },
    {
      "name": "CVE-2011-3670",
      "url": "https://www.cve.org/CVERecord?id=CVE-2011-3670"
    },
    {
      "name": "CVE-2012-0446",
      "url": "https://www.cve.org/CVERecord?id=CVE-2012-0446"
    },
    {
      "name": "CVE-2012-0450",
      "url": "https://www.cve.org/CVERecord?id=CVE-2012-0450"
    },
    {
      "name": "CVE-2011-3659",
      "url": "https://www.cve.org/CVERecord?id=CVE-2011-3659"
    },
    {
      "name": "CVE-2012-0443",
      "url": "https://www.cve.org/CVERecord?id=CVE-2012-0443"
    },
    {
      "name": "CVE-2012-0445",
      "url": "https://www.cve.org/CVERecord?id=CVE-2012-0445"
    }
  ],
  "initial_release_date": "2012-02-01T00:00:00",
  "last_revision_date": "2012-02-01T00:00:00",
  "links": [
    {
      "title": "Bulletin de s\u00e9curit\u00e9 de la fondation Mozilla    2012/mfsa2012-05 du 31 janvier 2012 :",
      "url": "http://www.mozilla.org/security/announce/2012/mfsa2012-05.html"
    },
    {
      "title": "Bulletin de s\u00e9curit\u00e9 de la fondation Mozilla    2012/mfsa2012-03 du 31 janvier 2012 :",
      "url": "http://www.mozilla.org/security/announce/2012/mfsa2012-03.html"
    },
    {
      "title": "Bulletin de s\u00e9curit\u00e9 de la fondation Mozilla    2012/mfsa2012-06 du 31 janvier 2012 :",
      "url": "http://www.mozilla.org/security/announce/2012/mfsa2012-06.html"
    },
    {
      "title": "Bulletin de s\u00e9curit\u00e9 de la fondation Mozilla    2012/mfsa2012-09 du 31 janvier 2012 :",
      "url": "http://www.mozilla.org/security/announce/2012/mfsa2012-09.html"
    },
    {
      "title": "Bulletin de s\u00e9curit\u00e9 de la fondation Mozilla    2012/mfsa2012-02 du 31 janvier 2012 :",
      "url": "http://www.mozilla.org/security/announce/2012/mfsa2012-02.html"
    },
    {
      "title": "Bulletin de s\u00e9curit\u00e9 de la fondation Mozilla    2012/mfsa2012-04 du 31 janvier 2012 :",
      "url": "http://www.mozilla.org/security/announce/2012/mfsa2012-04.html"
    },
    {
      "title": "Bulletin de s\u00e9curit\u00e9 de la fondation Mozilla    2012/mfsa2012-07 du 31 janvier 2012 :",
      "url": "http://www.mozilla.org/security/announce/2012/mfsa2012-07.html"
    },
    {
      "title": "Bulletin de s\u00e9curit\u00e9 de la fondation Mozilla    2012/mfsa2012-01 du 31 janvier 2012 :",
      "url": "http://www.mozilla.org/security/announce/2012/mfsa2012-01.html"
    },
    {
      "title": "Bulletin de s\u00e9curit\u00e9 de la fondation Mozilla    2012/mfsa2012-08 du 31 janvier 2012 :",
      "url": "http://www.mozilla.org/security/announce/2012/mfsa2012-08.html"
    }
  ],
  "reference": "CERTA-2012-AVI-047",
  "revisions": [
    {
      "description": "version initiale.",
      "revision_date": "2012-02-01T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "Ex\u00e9cution de code arbitraire \u00e0 distance"
    },
    {
      "description": "Injection de code indirecte \u00e0 distance"
    },
    {
      "description": "Contournement de la politique de s\u00e9curit\u00e9"
    }
  ],
  "summary": "Plusieurs vuln\u00e9rabilit\u00e9s corrig\u00e9es dans les produits Mozilla peuvent\n\u00eatre exploit\u00e9es pour contourner la politique de s\u00e9curit\u00e9, injecter du\ncode indirectement \u00e0 distance, ou ex\u00e9cuter du code arbitraire \u00e0\ndistance.\n",
  "title": "Multiples vuln\u00e9rabilit\u00e9s dans les produits Mozilla",
  "vendor_advisories": [
    {
      "published_at": null,
      "title": "Bulletins de s\u00e9curit\u00e9 de la fondation Mozilla du 31 janvier 2012",
      "url": null
    }
  ]
}


Log in or create an account to share your comment.




Tags
Taxonomy of the tags.




Sightings

Author Source Type Date

Nomenclature

  • Seen: The vulnerability was mentioned, discussed, or seen somewhere by the user.
  • Confirmed: The vulnerability is confirmed from an analyst perspective.
  • Published Proof of Concept: A public proof of concept is available for this vulnerability.
  • Exploited: This vulnerability was exploited and seen by the user reporting the sighting.
  • Patched: This vulnerability was successfully patched by the user reporting the sighting.
  • Not exploited: This vulnerability was not exploited or seen by the user reporting the sighting.
  • Not confirmed: The user expresses doubt about the veracity of the vulnerability.
  • Not patched: This vulnerability was not successfully patched by the user reporting the sighting.