yelp-2.28.1-13.AXS4, xulrunner-10.0.3-1.0.1.AXS4, firefox-10.0.3-1.0.1.AXS4

以下項目について対処しました。

[Security Fix]

- Mozilla Firefox にはリモートの WEB サーバが意図したコンテンツセキュリティポリシー (CSP) 制限を迂回し，巧妙に細工された HTTP ヘッダによって，クロスサイトスクリプティング (XSS) 攻撃を行う脆弱性があります。(CVE-2012-0451)

- Mozilla Firefox は javascript: URLs のドラッグアンドドロップ操作を適切に制限しておらず，巧妙に細工された WEB ページによって，リモートの攻撃者がクロスサイトスクリプティング (XSS)攻撃を行う脆弱性があります。(CVE-2012-0455)

- Mozilla Firefox にはリモートの攻撃者がプロセスメモリから機密情報を得ることができる脆弱性があります。(CVE-2012-0456)

- Mozilla Firefox の nsSMILTimeValueSpec::ConvertBetweenTimeContainer 関数には，SVG アニメーションによってリモートの攻撃者が任意のコードを実行する脆弱性があります。(CVE-2012-0457)

- Mozilla Firefox は URL ホームボタンへのドラッグによるホームページの設定を適切に制限しておらず，javascript: URL によって，リモートの攻撃者が chrome 権限で任意の JavaScript コードを実行する脆弱性があります。(CVE-2012-0458)

- Mozilla Firefox の CSS 実装はキーフレームの動的な変更によって，リモートの攻撃者がサービス拒否 (アプリケーションのクラッシュ) を引き起こしたり，任意のコードを実行する可能性のある脆弱性があります。(CVE-2012-0459)

- Mozilla Firefox は window.fullScreen object への書き込み権を適切に制限しておらず，巧妙に細工された WEB ページによって，リモートの攻撃者がユーザインターフェースを偽造する脆弱性があります。(CVE-2012-0460)

- Mozilla Firefox にはリモートの攻撃者がサービス拒否 (メモリ破壊とアプリケーションのクラッシュ) を引き起こしたり，あるいは任意のコードを実行する可能性のある脆弱性があります。(CVE-2012-0461)

- Mozilla Firefox のブラウザエンジンには複数の詳細不明な脆弱性が存在し，リモートの攻撃者がサービス拒否 (メモリ破壊とアプリケーションのクラッシュ) を引き起こしたり，あるいは任意のコードを実行する可能性のある脆弱性があります。(CVE-2012-0462)

- Mozilla Firefox のブラウザエンジンには開放後使用脆弱性が存在し，ガベージコレクションをきっかけとするとともに，array.join 関数に空の引数を渡すことで，リモートの攻撃者が任意のコードを実行する脆弱性があります。(CVE-2012-0464)

重要: Firefox 10 は Firefox 3.6 で動作していた Mozilla のアドオン、Firefox のプラグインと完全に後方互換性はあるわけではありません。Firefox 10 は最初の実行時に互換性を確認し、当該のアドオンやプラグインを無効化したり、アップデートやアップグレードができるか確認することになるかも知れません。
場合によってはアドオンやプラグインを手動でアップデートする必要があるかも知れません。

一部CVEの翻訳文はJVNからの引用になります。
http://jvndb.jvn.jp

[Bug Fix]

- xulrunner パッケージとともにインストールされている場合，yelp プラグインを開始するのに失敗し，"Could not initialize gecko!" というエラーメッセージを返す問題を修正しました。