SUSE SLED15 / SLES15セキュリティ更新プログラム：MozillaFirefox（SUSE-SU-2018:2890-1）
critical Nessus プラグイン ID 120110
Language:
概要
リモートのSUSEホストに1つ以上のセキュリティ更新がありません。説明
このMozillaFirefoxのESR60.2への更新では、いくつかの問題を修正します。これらの一般的な変更は、バージョン60リリースの一部です。
速度が改善された新しいブラウザエンジン
再設計されたグラフィカルユーザーインターフェイス要素
新規インストール用のアドレスと検索バーの統合
最もアクセス件数の多いページ、最近アクセスされたページ、および推奨ページをリストする新しいタブページ
JSONファイルを介したエンタープライズ展開での構成ポリシーをサポートします
Web認証をサポートすることにより、Webサイト認証にUSBトークンの使用が許可されます
以下の変更は、互換性に影響を与えます：WebExtension APIを使用して構築された拡張機能を独占的にサポートするようになりました。
サポートされていないレガシー拡張機能が、Firefox 60 ESRでは機能しなくなりました
2016年6月1日より前にSymantecに発行されたTLS証明書は信頼されなくなりました「security.pki.distrust_ca_policy」環境設定を0に設定して、これらの証明書の信頼を回復できます
次の問題がパフォーマンスに影響を与えます：秘密鍵、証明書、証明書の信頼を保存するための新しいフォーマット。ユーザーのホームディレクトリまたはデータディレクトリがネットワークファイルシステム上にある場合、ユーザーは速度の低下を回避するために次の環境変数を設定することが推奨されます：
NSS_SDB_USE_CACHE=yes。この設定は、高速ローカルファイルシステムには推奨されません。
次のセキュリティ問題が修正されました：CVE-2018-12381：Outlookメールメッセージをドラッグアンドドロップすると、ページナビゲーションが発生します（bsc#1107343）。
CVE-2017-16541：自動マウントとautofsを使用したプロキシバイパス（bsc#1107343）。
CVE-2018-12376：メモリの安全性に関する複数のバグ（bsc#1107343）。
CVE-2018-12377：更新ドライバータイマーのメモリ解放後使用（Use After Free）（bsc#1107343）。
CVE-2018-12378：IndexedDB での use-after-free（bsc#1107343）。
CVE-2018-12379：悪意のあるMARファイルによる領域外書き込み（bsc#1107343）。
注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。
ソリューション
このSUSEセキュリティ更新プログラムをインストールするには、YaSTのonline_updateや「zypper patch」など、SUSEが推奨するインストール方法を使用してください。別の方法として、製品にリストされているコマンドを実行することができます：
SUSE Linux Enterprise Module for Desktop Applications 15：zypper in -t patch SUSE-SLE-Module-Desktop-Applications-15-2018-2053=1
参考資料
https://bugzilla.suse.com/show_bug.cgi?id=1107343
https://www.suse.com/security/cve/CVE-2017-16541/
https://www.suse.com/security/cve/CVE-2018-12376/
https://www.suse.com/security/cve/CVE-2018-12377/
https://www.suse.com/security/cve/CVE-2018-12378/
https://www.suse.com/security/cve/CVE-2018-12379/
プラグインの詳細
深刻度: Critical
ID: 120110
ファイル名: suse_SU-2018-2890-1.nasl
バージョン: 1.3
タイプ: local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2019/1/2
更新日: 2019/9/10
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.7
CVSS v2
リスクファクター: High
Base Score: 7.5
Temporal Score: 5.9
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
CVSS v3
リスクファクター: Critical
Base Score: 9.8
Temporal Score: 8.8
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
脆弱性情報
CPE: p-cpe:/a:novell:suse_linux:mozillafirefox, p-cpe:/a:novell:suse_linux:mozillafirefox-branding-sle, p-cpe:/a:novell:suse_linux:mozillafirefox-debuginfo, p-cpe:/a:novell:suse_linux:mozillafirefox-debugsource, p-cpe:/a:novell:suse_linux:mozillafirefox-devel, p-cpe:/a:novell:suse_linux:mozillafirefox-translations-common, p-cpe:/a:novell:suse_linux:mozillafirefox-translations-other, cpe:/o:novell:suse_linux:15
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2018/9/27
脆弱性公開日: 2017/11/4
参照情報
CVE: CVE-2017-16541, CVE-2018-12376, CVE-2018-12377, CVE-2018-12378, CVE-2018-12379, CVE-2018-12381