Puesto que este componente se encuentra en los productos Firefox, Thunderbird y Seamonkey, todos se ven afectados por este grave problema.

El fallo se trata de un desbordamiento de enteros en la función png_decompress_chunk del fichero pngrutil.c de la librería.  A la hora de descomprimir ciertas imágenes especialmente manipuladas, se podría producir un desbordamiento de memoria intermedia basado en heap.

Si un usuario abre un fichero PNG (por ejemplo al visitar una web) especialmente manipulado, se podría llegar a ejecutar código arbitrario.

Esta vulnerabilidad ha recibido el CVE-2011-3026 como referencia.

El boletín que recoge este fallo, MFSA2012-11, aparece sólo seis días después del anterior, que corregía un grave fallo en nsXBLDocumentInfo::ReadPrototypeBindings.  A su vez, este aparecía apenas 10 días después del lote anterior de nueve boletines publicado por la fundación el 31 de enero.

Mozilla ha publicado nuevas versiones de sus productos que corrigen esta vulnerabilidad: Firefox 10.0.2, Firefox ESR 10.0.2, Firefox 3.6.27, Thunderbird 10.0.2, Thunderbird ESR 10.0.2, Thunderbird 3.1.19 y Seamonkey 2.7.2

Opina sobre esta noticia:
http://unaaldia.hispasec.com/2012/02/otra-actualizacion-urgente-tercera-en.html#comments

Más información:

Mozilla Foundation Security Advisory 2012-11
http://www.mozilla.org/security/announce/2012/mfsa2012-11.html






Fuente:
Borja Luaces
bluaces@hispasec.com
Laboratorio Hispasec
www.hispasec.com

Imagen: 
Fotos Digitales Gratis
www.fotosdigitalesgratis.com
 
Logos/Imágenes MR Respectivas Compañías mencionadas en la noticia.
Portal de Seguridad Informática, Tecnología e Internet
Descargas Antivirus/Antimalware
www.antivirusgratis.com.ar