更新后的 seamonkey 程序包修复了多个安全缺陷，现在可用于 Red Hat Enterprise Linux 4。

Red Hat 安全响应团队将此更新评级为具有严重安全影响。

SeaMonkey 是一款开源的 Web 浏览器、高级电子邮件和新闻组客户端、IRC 聊天客户端及 HTML 编辑器。

建议 SeaMonkey 用户升级这些勘误表程序包，其中包含用于修正这些问题的 SeaMonkey 版本 1.0.6。


来自 Red Hat 安全公告 2006:0734：

在 SeaMonkey 处理某些畸形 Javascript 代码的方式中发现多个缺陷。恶意网页可导致执行 Javascript 代码的方式造成 SeaMonkey 崩溃或以运行 SeaMonkey 的用户的身份执行任意代码。（CVE-2006-5463、CVE-2006-5747、CVE-2006-5748）

在 SeaMonkey 渲染网页的方式中发现多个缺陷。恶意网页可导致浏览器崩溃，或者可能以运行 SeaMonkey 的用户的身份执行任意代码。(CVE-2006-5464)

在 SeaMonkey 验证 RSA 签名的方式中发现一个缺陷。使用指数为 3 的 RSA 密钥时，攻击者可伪造签名，使 NSS 库对其进行错误验证。随附的 SeaMonkey 信任多家使用指数 3 的根证书颁发机构。攻击者可能创建特别构建的 SSL 证书，受害者访问其网站时会错误信任该证书。以前认为此缺陷已在 SeaMonkey 1.0.5 中修复，但 Ulrich Kuehn 发现修复不完整 (CVE-2006-5462)


来自 Red Hat 安全公告 2006:0676：

在 SeaMonkey 处理特定正则表达式的方式中发现两个缺陷。恶意网页可导致浏览器崩溃，或者可能以运行 SeaMonkey 的用户的身份执行任意代码。（CVE-2006-4565、CVE-2006-4566）

在 Javascript 时限事件的处理中发现一个缺陷。恶意网页可导致浏览器崩溃，或者可能以运行 SeaMonkey 的用户的身份执行任意代码。(CVE-2006-4253)

Daniel Bleichenbacher 最近描述了 RSA 签名验证中的实现错误。使用指数为 3 的 RSA 密钥时，攻击者可伪造签名，使 NSS 库对其进行错误验证。随附的 SeaMonkey 信任多家使用指数 3 的根证书颁发机构。攻击者可能创建特别构建的 SSL 证书，受害者访问其网站时会错误信任该证书。(CVE-2006-4340)

SeaMonkey 未正确防止一个域中的帧将内容注入属于另一个域的子帧，这可促进网站欺骗及其他攻击 (CVE-2006-4568)

已发现当 HTML 消息包含指向 XBL 脚本的远程映像时触发的 SeaMonkey Messenger 中存在缺陷。攻击者可能创建精心构建的消息，当收件人对电子邮件执行某些操作时会执行 Javascript，即使 Javascript 已禁用也是如此。(CVE-2006-4570)

在 SeaMonkey 中发现大量缺陷。恶意网页可导致浏览器崩溃，或者可能以运行 SeaMonkey 的用户的身份执行任意代码。(CVE-2006-4571)

检测

Oracle Linux 4：seamonkey (ELSA-2006-0734 / ELSA-2006-0676)

critical Nessus 插件 ID 67423

未找到变更日志