CVE:CVE-2008-5502
CNNVD:CNNVD-200812-356
Firefox是Mozilla所发布的开源WEB浏览器。
Firefox中的多个安全漏洞允许恶意用户泄露敏感信息、绕过安全限制、执行欺骗攻击或入侵用户系统。由于代码共享，Thunderbird和SeaMonkey也受这些漏洞的影响。
1) 布局和JavaScript引擎中的多个错误可能导致内存破坏并执行任意代码。
2) 在处理persist XUL属性中的错误可能导致绕过cookie设置，在之后浏览会话中识别出用户。
3) XBL绑定中的错误可能被利用绕过同源策略泄露敏感信息或以chrome权限执行JavaScript代码。
4) 如果对302重新定向到不同域中资源的同源资源执行了XMLHttpRequest请求的话，跨域资源的响应是发布XHR的站点可读的。标记为HttpOnly的Cookie不可读，但XHR响应可能泄露其他敏感数据，包括响应体中的URL参数和内容。
5) 如果同域JavaScript URL重新定向到的非同域目标资源包含有不可解析为JavaScript的数据的话，则在试图以JavaScript加载数据时生成的句法错误可能通过window.onerror DOM API泄露一些文件。
6) 如果在URL的开头放置某些控制字符的话，解析程序就会生成畸形的URL输出。
7) 在CSS中，\0标识空字符，但Mozilla缺忽略了该字符。例如，c\0olor:red;会被处理为color:red;。这可能导致绕过web应用中的某些脚本过滤例程。
8) 会话恢复功能中存在漏洞，可能导致向错误的文档存储位置注入内容，包括其他域的存储位置。攻击者可以利用这个漏洞破坏浏览器的同源策略并在恢复SessionStore数据时执行跨站脚本攻击。
solution:Upgrade mozilla firefox to a higher version than 2.0.0.19,3.0.5,and avoid the version [2.0,2.0.0.19),[3.0,3.0.5); Upgrade mozilla seamonkey to a higher version than 1.1.14,and avoid the version [1.0,1.1.14); Upgrade canonical ubuntu_linux to a higher version than 8.04,8.10,and avoid the version 8.04,8.10