1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
|
<define-tag description>Mehrere Verwundbarkeiten</define-tag>
<define-tag moreinfo>
<p>Mehrere sicherheitsrelevante Probleme wurden in Mozilla Firefox entdeckt.
Das <q>Common Vulnerabilities and Exposures Project</q> legt die folgenden
Probleme fest:</p>
<ul>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2005-4134">CVE-2005-4134</a>
<p>Webseiten mit extrem langen Titeln bewirken, dass folgende Startvorgänge
des Browsers bis zu einigen Minuten lang zu <q>hängen</q> scheinen oder
sogar abstürzen, wenn der Rechner nur unzureichend über Speicher
verfügt. [MFSA-2006-03]</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2006-0292">CVE-2006-0292</a>
<p>Der JavaScript-Interpreter dereferenziert einige Objekte nicht
angemessen, wodurch es entfernten Angreifern erlaubt wird, eine
Diensteverweigerung (<q>denial of service</q>) zu verursachen oder
beliebigen Code auszuführen. [MFSA-2006-01]</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2006-0293">CVE-2006-0293</a>
<p>Der Code zum Allozieren von Funktionen erlaubt es Angreifern, eine
Diensteverweigerung (<q>denial of service</q>) zu verursachen und
möglicherweise beliebigen Code auszuführen. [MFSA-2006-01]</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2006-0296">CVE-2006-0296</a>
<p>XULDocument.persist() validierte nicht den Attributnamen, was es einem
Angreifer ermöglicht, beliebigen XML- und JavaScript-Code in localstore.rdf
einzuschleusen, der beim Starten gelesen und ausgeführt würde.
[MFSA-2006-05]</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2006-0748">CVE-2006-0748</a>
<p>Ein anonymer Erkunder von TippingPoint und der Zero-Day-Initiative
berichtete, dass eine ungültige und unsinnige Anordnung der tabellenbezogenen
Tags dazu ausgenutzt werden kann, beliebigen Code auszuführen.
[MFSA-2006-27]</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2006-0749">CVE-2006-0749</a>
<p>Eine bestimmte Abfolge von HTML-Tags kann eine Speicherveränderung
zur Folge haben, die zur Ausführung von beliebigem Code ausgenutzt
werden kann. [MFSA-2006-18]</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2006-1727">CVE-2006-1727</a>
<p>Georgi Guninski berichtete über zwei Varianten zur Verwendung eines
Skripts in einer XBL-Kontrolldatei, um Chrome-Privilegien zu erlangen,
wenn die Seite unter <q>Druckvorschau</q> angezeigt wird. [MFSA-2006-25]</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2006-1728">CVE-2006-1728</a>
<p><q>shutdown</q> entdeckte, dass die crypto.generateCRMFRequest-Methode
genutzt werden kann, um beliebigen Code mit den Berechtigungen des Benutzers
auszuführen, der den Browser nutzt, wodurch es einem Angreifer möglich sein
könnte Schadsoftware zu installieren. [MFSA-2006-24]</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2006-1729">CVE-2006-1729</a>
<p>Claus Jørgensen berichtete, dass eine Texteingabebox vorab mit einem
Dateinamen befüllt und dann in ein Kontrollfenster zum Dateiupload
umgewandelt werden kann, wodurch eine böswillige Webseite jede lokale
Datei einsehen kann, deren Namen sie erraten kann. [MFSA-2006-23]</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2006-1730">CVE-2006-1730</a>
<p>Ein anonymer Erkunder von TippingPoint und der Zero-Day-Initiative
entdeckte einen durch CSS-Zeichenabstandseigenschaften ausgelösten
Integer-Überlauf, was zur Ausführung von beliebigem Code ausgenutzt
werden könnte. [MFSA-2006-22]</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2006-1731">CVE-2006-1731</a>
<p><q>moz_bug_r_a4</q> entdeckte, dass einige interne Funktionen Prototypen
anstatt Objekten zurückgeben, was es einem entfernten Angreifer erlaubt,
seitenübergreifende Skripting-Angriffe durchzuführen. [MFSA-2006-19]</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2006-1732">CVE-2006-1732</a>
<p><q>shutdown</q> entdeckte, dass es möglich ist, Schutzvorrichtungen zur
Überprüfung, ob etwas von derselben Quelle stammt, zu umgehen, was es einer
böswilligen Seite erlaubt, Skripte in Inhalte von einer anderen Seite
einzufügen, wodurch die böswillige Seite Informationen wie Cookies oder
Passwörter von einer anderen Seite stehlen oder an Stelle des Benutzers
Transaktionen durchführen kann, wenn der Benutzer bereits eingeloggt ist.
[MFSA-2006-17]</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2006-1733">CVE-2006-1733</a>
<p><q>moz_bug_r_a4</q> entdeckte, dass die Kompilierungsreichweite
privilegierter eingebauter XBL-Bindings nicht vollständig vor Webinhalten
geschützt ist und immer noch ausgeführt werden kann, was zur Ausführung
von beliebigem JavaScript genutzt werden kann, was es einem Angreifer
ermöglicht, Schadsoftware wie Viren oder Passwort-Sniffer zu installieren.
[MFSA-2006-16]</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2006-1734">CVE-2006-1734</a>
<p><q>shutdown</q> entdeckte, dass es möglich ist, auf ein internes
Funktionsobjekt zuzugreifen, welches dann zur Ausführung von beliebigem
JavaScript-Code mit den vollständigen Berechtigungen des Benutzers, der
den Browser ausführt, genutzt werden kann, wodurch Spyware oder Viren
installiert werden könnten. [MFSA-2006-15]</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2006-1735">CVE-2006-1735</a>
<p>Es ist möglich, JavaScript-Funktionen zu erstellen, die mit den falschen
Berechtigungen kompiliert werden, was es einem Angreifer erlaubt, Code
seiner Wahl mit den vollen Berechtigungen des Benutzers, der den Browser
ausführt, auszuführen, wodurch Spyware oder Viren installiert werden
könnten. [MFSA-2006-14]</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2006-1736">CVE-2006-1736</a>
<p>Es ist möglich, Benutzer über ein Bild, das von einer transparenten
Bild-Verknüpfung überlagert ist, die auf eine ausführbare Datei verweist,
dazu zu verleiten, eine ausführbare Datei herunterzuladen und zu speichern.
[MFSA-2006-13]</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2006-1737">CVE-2006-1737</a>
<p>Ein Integer-Überlauf gestattet es entfernten Angreifern, über einen
großen regulären Ausdruck in JavaScript eine Diensteverweigerung <q>denial
of service</q> auszulösen und möglicherweise beliebigen Bytecode
auszuführen. [MFSA-2006-11]</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2006-1738">CVE-2006-1738</a>
<p>Eine nicht spezifizierte Verwundbarkeit erlaubt es entfernten Angreifern
eine Diensteverweigerung <q>denial of service</q> auszulösen. [MFSA-2006-11]</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2006-1739">CVE-2006-1739</a>
<p>Gewisse Cascading Style Sheets (CSS) können einen Array-Schreibvorgang
außerhalb der Grenzen zur Folge und einen Pufferüberlauf zur Folge haben,
die zu einer Diensteverweigerung <q>denial of service</q> und möglicherweise
zur Ausführung von beliebigem Code führen könnten. [MFSA-2006-11]</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2006-1740">CVE-2006-1740</a>
<p>Es ist entfernten Angreifern möglich, Anzeigeelemente wie das
Schloss-Symbol zum Hinweis auf gesicherte Seiten zu fälschen, indem sie
die vertrauenswürdige Seite in einem Popup-Fenster öffnen und dann
die Adresse zu einer böswilligen Seite abändern. [MFSA-2006-12]</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2006-1741">CVE-2006-1741</a>
<p><q>shutdown</q> entdeckte die Möglichkeit, beliebigen JavaScript-Code
in eine Seite einzufügen, indem man eine modale Meldung verwendet, um
einen Event-Handler vorübergehend auszusetzen, während eine neue Seite
geladen wird. Dies könnte dazu verwendet werden, um vertrauliche
Informationen zu entwenden. [MFSA-2006-09]</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2006-1742">CVE-2006-1742</a>
<p>Igor Bukanov entdeckte, dass die JavaScript-Engine temporäre Variablen
nicht angemessen handhabt, wodurch es entfernten Angreifern möglich ist,
Rechenoperationen in freigegebenem Speicher herbeizuführen und den Speicher
zu verändern. [MFSA-2006-10]</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2006-1790">CVE-2006-1790</a>
<p>Eine Fehlerbehebung zu einer Regression, der eine Speicherverfälschung
zur Folge haben könnte, erlaubt es entfernten Angreifern, eine
Diensteverweigerung <q>denial of service</q> zu verursachen und
möglicherweise beliebigen Code auszuführen. [MFSA-2006-11]</p></li>
</ul>
<p>Für die Stable-Distribution (Sarge) wurden diese Probleme in
Version 1.0.4-2sarge6 behoben.</p>
<p>Für die Unstable-Distribution (Sid) wurden diese Probleme in
Version 1.5.dfsg+1.5.0.2-2 behoben.</p>
<p>Wir empfehlen Ihnen, Ihre Mozilla Firefox-Pakete zu aktualisieren.</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/security/2006/dsa-1044.data"
#use wml::debian::translation-check translation="b128ca5f062ffd92dfde8a7b5888d4e87ec075f2" mindelta="1"
# $Id$
# Translator: Florian Ernst <florian@debian.org> 2006-05-04
|
