ZeroBox Vulnerability Database

漏洞起因
设计错误
危险等级
低
 
影响系统
Mozilla Firefox 7.x
Mozilla Thunderbird 7.x
 
 
不受影响系统
 
危害
远程攻击者利用漏洞使应用程序崩溃或任意代码执行。
 
攻击所需条件
攻击者必须构建恶意页面，诱使用户解析。
 
漏洞信息
Mozilla Firefox是一款开放源码的WEB浏览器，Thunderbird是一个邮件客户端，支持IMAP、POP邮件协议以及HTML邮件格式。
Firefox和其他Mozilla产品使用的浏览器引擎存在安全漏洞，可导致内存破坏攻击。有的漏洞可能导致任意代码执行。
这些漏洞不能通过email来利用，因为Thunderbird和SeaMonkey产品禁用脚本。
CVE-2011-3651：
CNCVE ID：CNCVE-20113651
CNCVE-20113652
CNCVE-20113654
CNCVE-20113651
 
Jason Orendorff, Boris Zbarsky, Gregg Tavares, Mats Palmgren, Christian Holler, Jesse Ruderman, Simona Marcu, Bob Clary和William McCloskey报告Firefox 7存在多个内存安全问题。
CVE-2011-3652：
CNCVE ID：CNCVE-20113651
CNCVE-20113652
CNCVE-20113654
CNCVE-20113651
CNCVE-20113652
 
Rh0报告由于没有对分配失败进行正确检查，可导致应用程序崩溃。
CVE-2011-3654：
CNCVE ID：CNCVE-20113651
CNCVE-20113652
CNCVE-20113654
CNCVE-20113651
CNCVE-20113652
CNCVE-20113654
 
把SVG <mpath>链接到非SVG元素，可导致应用程序崩溃。
 
测试方法
 
厂商解决方案 
用户可参考如下供应商提供的安全公告获得补丁信息：
http://www.mozilla.org/security/announce/2011/mfsa2011-48.html
 
漏洞提供者
Yosuke Hasegawa