La Fundación Mozilla ha anunciado la publicación de la versión 38 de Firefox, junto con 13 boletines de seguridad que corrigen hasta 14 vulnerabilidades en la nueva versión de su navegador (algunas de ellas también afectan al gestor de correo Thunderbird).
Detalle de la actualización
Los boletines de
seguridad, desde MFSA2015-46 hasta MFSA2015-58, incluyen cinco de carácter
crítico y otros tantos importantes, además de tres de importancia moderada y
baja. Los errores que corrigen son los siguientes:
- MFSA2015-46: dos errores de corrupción de memoria que podrían permitir la ejecución de código arbitrario (CVE-2015-2708 y CVE-2015-2709).
- MFSA2015-47: un desbordamiento de memoria en Gstreamer al reproducir vídeo en formato H.264. Afecta únicamente a sistemas Linux (CVE-2015-0797).
- MFSA2015-48: un error en SVGTextFrame al procesar gráficos SVG en combinación con determinados estilos CSS que podría conducir a la ejecución de código (CVE-2015-2710).
- MFSA2015-49: error al ignorar las políticas de referencia (etiqueta ) cuando se abre un enlace desde el menú contextual o con el botón central del ratón (CVE-2015-2711).
- MFSA2015-50: una lectura y escritura en memoria fuera de límites en 'asm.js' durante la validación de código JavaScript que podría permitir la ejecución de código arbitrario y revelación de información sensible (CVE-2015-2712).
- MFSA2015-51: error en SetBreaks al acceder a objetos en memoria previamente liberada cuando la opción de texto en modo vertical se encuentra activada. Esto podría permitir la ejecución de código remoto (CVE-2015-2713).
- MFSA2015-52: error en Fennec al revelar información sensible de 'logcat' codificada en la URL. Esta vulnerabilidad con identificador CVE-2015-2714, solo afecta a sistemas Android 4.0 o anteriores.
- MFSA2015-53: otro fallo de seguridad de uso de memoria tras liberación que podría permitir la ejecución de código remoto (CVE-2015-2715).
- MFSA2015-54: un desbordamiento de memoria al procesar contenido XML comprimido que podría derivar en la ejecución de código (CVE-2015-2716).
- MFSA2015-55: un desbordamiento de enteros en la librería 'libstagefright' cuando se procesan determinados metadatos en ficheros de vídeo MP4 podría posibilitar la ejecución de código (CVE-2015-2717).
- MFSA2015-56: una falta de políticas de seguridad en el módulo 'WebChannel.jsm' al comprobar la procedencia de los mensajes 'webchannel' (CVE-2015-2718).
- MFSA2015-57: un error en la implementación de 'Inter-process Communication' (ICP) al no existir validación de las comunicaciones entre procesos. Este fallo de seguridad, presente únicamente en sistemas Microsoft Windows, podría ser aprovechado para elevar privilegios (CVE-2011-3079).
- MFSA2015-58: falta de comprobación de la ruta de 'updater.exe' al realizar una actualización que podría permitir una elevación de privilegios en sistemas Microsoft Windows (CVE-2015-2720).
- La versión 38 de Firefox, que corrige todas las vulnerabilidades anteriormente comentadas, se encuentra disponible para su descarga a través de los canales habituales o mediante las actualizaciones automáticas.
- Una al día (15/05/2015) http://unaaldia.hispasec.com/2015/05/mozilla-firefox-38-soluciona-14.html
