Mozilla Firefox ESR < 60.3
critical Nessus プラグイン ID 118395
Language:
概要
リモートの Windows ホストにインストールされているウェブブラウザは、複数の脆弱性の影響を受けます。説明
リモートの Windows ホストにインストールされている Firefox ESR のバージョンは、60.3 より前のものです。したがって、mfsa2018-27アドバイザリに記載されているように、複数の脆弱性の影響を受けます。- スクリプトを使用してドキュメントを開いている間にネストされたループ内のユーザーイベントを操作するとき、イベント処理が不適切であるために悪用可能なクラッシュを引き起こす可能性があります。CVE-2018-12392
- Firefox for Android で HTTP Live Stream を再生中に、セキュリティポリシー違反でオリジン間で音声データにアクセスされる可能性があります。この問題は基盤となる Android サービスに存在するため、この問題は、すべての HLS ストリームをクロスオリジンおよびアクセスに対して不透明として扱うことで対処されます。注この問題による影響を受けるのは、Firefox for Android だけです。Firefox のデスクトップバージョンは影響を受けません。CVE-2018-12391
- スクリプトを内部 UTF-16 表現に変換する際の整数オーバーフローにより、バッファの割り当てが変換に対して足りなくなる脆弱性が、32 ビットビルドにあります。これによって領域外書き込みが発生する可能性があります。注64 ビットビルドは、この問題に対して脆弱ではありません。CVE-2018-12393
- <code><code>webRequest</code> API を使用して [] Host</code> リクエストヘッダーを書き換えることで、WebExtension はドメインフロンティングを介してドメイン制限をバイパスできます。これにより、本来は制限されているホストを共有するドメインへのアクセスが許可されます。CVE-2018-12395
- WebExtensionがナビゲーションやその他のイベントの後に許可されていないコンテキストでコンテンツスクリプトを実行できる脆弱性があります。これにより、コンテンツスクリプトを実行するべきではないサイトでWebExtensionによる権限昇格が発生する可能性があります。CVE-2018-12396
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
Mozilla Firefox ESR をバージョン 60.3 以降にアップグレードしてください。参考資料
https://www.mozilla.org/en-US/security/advisories/mfsa2018-27/
プラグインの詳細
深刻度: Critical
ID: 118395
ファイル名: mozilla_firefox_60_3_esr.nasl
バージョン: 1.8
タイプ: local
エージェント: windows
ファミリー: Windows
公開日: 2018/10/25
更新日: 2025/11/18
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.7
CVSS v2
リスクファクター: High
基本値: 9.3
現状値: 6.9
ベクトル: CVSS2#AV:N/AC:M/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2018-12391
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 8.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
CVSS スコアのソース: CVE-2018-12392
脆弱性情報
CPE: cpe:/a:mozilla:firefox_esr
必要な KB アイテム: installed_sw/Mozilla Firefox ESR
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2018/10/23
脆弱性公開日: 2018/10/23
参照情報
CVE: CVE-2018-12389, CVE-2018-12390, CVE-2018-12391, CVE-2018-12392, CVE-2018-12393, CVE-2018-12395, CVE-2018-12396, CVE-2018-12397