Mozilla Firefox < 57.0
critical Nessus プラグイン ID 104638
Language:
概要
リモートの Windows ホストにインストールされているウェブブラウザは、複数の脆弱性の影響を受けます。説明
リモートの Windows ホストにインストールされている Firefox のバージョンは、57.0 より前です。したがって、mfsa2017-24 アドバイザリに記載されている複数の脆弱性の影響を受けます。- Mozilla 開発者およびコミュニティメンバーの Boris Zbarsky 氏、Carsten Book 氏、Christian Holler 氏、Byron Campen 氏、Jan de Mooij 氏、Jason Kratzer 氏、Jesse Schwartzentruber 氏、Marcia Knous 氏、Randell Jesup 氏、Tyson Smith 氏、Ting-Yu Chou 氏は、Firefox 56 に存在するメモリ安全性のバグを報告しました。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、十分な労力をもってすればこれらの一部を悪用し、任意のコードを実行することが可能であると推測しています。(CVE-2017-7827)
- <code>PressShell</code> オブジェクトが使用中に解放されているため、レイアウトをフラッシュおよびサイズ変更する際に、メモリ解放後使用 (Use-After-Free) の脆弱性が発生する可能性があります。これにより、これらの操作中に悪用可能なクラッシュが引き起こされる可能性があります。(CVE-2017-7828)
- Resource Timing API が、クロスオリジン iframe のナビゲーションを不適切に漏洩していました。これは同一オリジンポリシー違反であり、ユーザーがロードした URL のデータが盗まれる可能性があります。(CVE-2017-7830)
- セキュリティラッパーが、プロキシオブジェクト上の非推奨の <code>exposedProps</code> メカニズムを使用して、一部の漏洩したプロパティへのアクセスを拒否しない脆弱性。これらのプロパティは、プロキシオブジェクトでは明示的に使用できないようにする必要があります。(CVE-2017-7831)
- 文字「i」と Unicode の潜在的なアクセント (鋭アクセントや重アクセントなど) を組み合わせた単一文字バージョンは、ほとんどのフォントセットで、2 番目の文字として同じアクセントが続くドットなしバージョンの「i」によって、アドレスバーで偽装される可能性があります。これらの組み合わせドメイン名が punycode として表示されないため、ドメインのなりすまし攻撃が可能になります。(CVE-2017-7832)
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
Mozilla Firefox をバージョン 57.0 以降にアップグレードしてください。参考資料
https://www.mozilla.org/en-US/security/advisories/mfsa2017-24/
プラグインの詳細
深刻度: Critical
ID: 104638
ファイル名: mozilla_firefox_57_0.nasl
バージョン: 1.7
タイプ: local
エージェント: windows
ファミリー: Windows
公開日: 2017/11/16
更新日: 2025/11/18
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.7
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 7.4
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2017-7827
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 8.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
CVSS スコアのソース: CVE-2017-7828
脆弱性情報
CPE: cpe:/a:mozilla:firefox
必要な KB アイテム: installed_sw/Mozilla Firefox
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2017/11/14
脆弱性公開日: 2017/11/14
参照情報
CVE: CVE-2017-7826, CVE-2017-7827, CVE-2017-7828, CVE-2017-7830, CVE-2017-7831, CVE-2017-7832, CVE-2017-7833, CVE-2017-7834, CVE-2017-7835, CVE-2017-7836, CVE-2017-7837, CVE-2017-7838, CVE-2017-7839, CVE-2017-7840, CVE-2017-7842
BID: 101832
MFSA: 2017-24