Sistemas Afectados

1. Descripción

   Mozilla ha liberado nuevas versiones de Firefox, Thunderbird y SeaMonkey para solucionar estas vulnerabilidades. Más detalle sobre estas vulnerabilidades están disponibles en el sitio de Mozilla y en la base de datos de notas de vulnerabilidad. Un intruso podría explotar estas vulnerabilidades al inducir a un usuario abrir un archivo HTML especialmente creado, el archivo podría ser en forma de página Web o un mensaje de correo con formato HTML.

2. Impacto

   El impacto de cada una de las vulnerabilidades varía, la mas grave podría permitir la ejecución remota de código arbitrario por parte de un usuario no autenticado. Además, un intruso podría causar una negación de servicio.

3. Solución

   Actualizar a las nuevas versiones.

   Estas vulnerabilidades son corregidas en las versiones de Mozilla Firefox 1.5.0.9, Mozilla Firefox 2.0.0.1, Mozilla Thunderbird 1.5.0.9 y SeaMonkey 1.0.7 Aunque Mozilla Firefox, Thunderbird y SeaMonkey verifican de modo automático la existencia de nuevas versiones, es necesario que éstas sean instaladas.

   Firefox 1.5.0.x seguirá teniendo mantenimiento en estabilidad y seguridad hasta abril del 2007. Se invita a los usuarios a instalar la versión 2 de Firefox.

   Deshabilitar JavaScript y Java. Estas vulnerabilidades pueden ser mitigadas al deshabilitar JavaScript y Java. Para mayor información acerca de la configuración de Firefox, puede ver el documento "Asegurando el navegador Web". Los usuarios de Netscape deben ver el documento “Site Controls” para informarse de mayores detalles.

   Thunderbird deshabilita JavaScript y Java por default.

4. Referencias

   • US-CERT Vulnerability Notes - http://www.kb.cert.org/vuls/byid-searchview&query=mozilla_20061219
   • Securing Your Web Browser - http://www.us-cert.gov/reading_room/securing_browser/browser_security.html#Mozilla_Firefox
   • Mozilla Foundation Security Advisories - http://www.mozilla.org/security/announce/
   • Known Vulnerabilities in Mozilla Products - http://www.mozilla.org/projects/security/known-vulnerabilities.html
   • Mozilla Hall of Fame - http://www.mozilla.org/university/HOF.html
   • Site Controls - http://browser.netscape.com/ns8/help/options-site.jsp

La Coordinación de Seguridad de la Información/UNAM-CERT agradece el apoyo en la elaboración ó traducción y revisión de éste Documento a:

• Sergio Alavez Miguel (salavez at seguridad dot unam dot mx)
• Israel Becerril Sierra (ibecerril at seguridad dot unam dot mx)