CentOS4/security/i386/CESA-2006 0734 Critical CentOS 4 i386 seamonkey

CentOS 4 パッケージ更新・エラータ・セキュリティ情報

Errata †

CentOS エラータ、および Security Advisory CESA-2006:0734

CentOS 3 i386 向けの SeaMonkey? セキュリティ・アップデート:
https://rhn.redhat.com/errata/RHSA-2006-0734.html

上記の問題に対処する更新ファイル群は既にアップロードされています。
各 CentOS ミラーサイトよりダウンロードすることができます：

i386:
devhelp-0.10-0.5.el4.i386.rpm
devhelp-devel-0.10-0.5.el4.i386.rpm
seamonkey-1.0.6-0.1.el4.centos4.i386.rpm
seamonkey-chat-1.0.6-0.1.el4.centos4.i386.rpm
seamonkey-devel-1.0.6-0.1.el4.centos4.i386.rpm
seamonkey-dom-inspector-1.0.6-0.1.el4.centos4.i386.rpm
seamonkey-js-debugger-1.0.6-0.1.el4.centos4.i386.rpm
seamonkey-mail-1.0.6-0.1.el4.centos4.i386.rpm
seamonkey-nspr-1.0.6-0.1.el4.centos4.i386.rpm
seamonkey-nspr-devel-1.0.6-0.1.el4.centos4.i386.rpm
seamonkey-nss-1.0.6-0.1.el4.centos4.i386.rpm
seamonkey-nss-devel-1.0.6-0.1.el4.centos4.i386.rpm

src:
devhelp-0.10-0.5.el4.src.rpm
seamonkey-1.0.6-0.1.el4.centos4.src.rpm

　パッケージの更新は yum を使って行うことも出来ます。次のコマンドを入力します：

        yum update seamonkey\*

• [CentOS-announce] CESA-2006:0734 Critical CentOS 4 i386 seamonkey - security update
  • http://lists.centos.org/pipermail/centos-announce/2006-November/013379.html

Errata 日本語概要 (Red Hat 社公開文章参考) †

Red Hat 社の勧告 †

• Advisory： RHSA-2006:0734-5
• 種別：セキュリティに対する助言
• 危険度：高い
• 日時：2006-11-08

詳細について †

　SeaMonkey? のセキュリティ問題に対処した SeaMonkey? パッケージ群を公開しました。

　Red Hat セキュリティ対策チームはセキュリティ上、非常に重要な問題であると判断しました。よって、パッケージの更新を強く推奨するものです。 　 　SeaMonkey? はオープンソースのウェブ・ブラウザであり高度なメールとニューズ・グループのクライアント、IRC チャット、HTML エディタ用の統合ソフトです。

　SeaMonkey? における特定の JavaScript? を用いた内部処理に於いて問題となるコードを実行してしまう危険性が見つかりました。悪意のあるウェブ・ページが SeaMonkey? を SeaMonkey? の実行ユーザ権限で任意のコードを実行させたりクラッシュさせるか、あるいは同様のことが JavaScript? 経由でも実行できる危険性があります。(CVE-2006-5463, CVE-2006-5747, CVE-2006-5748)

　SeaMonkey? がウェブ・ページを表示する際のレンダリング処理の欠陥も見つかりました。悪意のあるウェブ・ページが SeaMonkey? を SeaMonkey? の実行ユーザ権限で任意のコードを実行させたりクラッシュさせる可能性があります。(CVE-2006-5464)

　SeaMonkey? の RSA 署名の暗号化された処理の認証に関わる欠陥も見つかりました。RSA 認証に使用する中間認証鍵が第三者によってライブラリが偽装され、それが認証されてしまう事があり得ます。同様に中間証明機関を偽ることも可能です。攻撃者が綿密に SSL 認証用の証明書を作成することが出来れば、SSL 認証サイトの訪問者が偽装された SSL サイトに関わらず正しく認証された SSL サイトとして見えてしまいます。この問題は Ulrich Kuehn 氏により SeaMonkey? バージョン 1.0.5 によって修正された(CVE-2006-5462)と思われていましたが、まだ不完全なものでした。もし、SeaMonkey? バージョン 1.0.6 以下を使用しているのであれば、速やかにバージョンアップを行うことを推奨しいます。

• https://rhn.redhat.com/errata/RHSA-2006-0734.html

※免責：翻訳については原文との完全な同一性を保証するものではありません。