リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2023:2440-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - TLS 証明書が無効なサイトのエラーページに、Firefox がプロンプトと権限ダイアログを人間の応答時間の遅延を悪用する攻撃から保護するために使用する、アクティベーション遅延がありませんでした。悪意のあるページが、証明書エラーのあるサイトに移動する直前に正確な場所でユーザーをクリックし、同時にレンダラーを非常にビジー状態にすると、エラーページが読み込まれたときと実際に表示がリフレッシュされたときの間にギャップが生じる可能性があります。適切なタイミングで、誘導されたクリックがそのギャップに到達し、そのサイトの証明書エラーをオーバーライドするボタンをアクティブ化する可能性があります。
    この脆弱性の影響を受けるのは、Firefox ESR < 102.12、Firefox < 114、Thunderbird < 102.12です。(CVE-2023-34414)

  - Firefox 113、Firefox ESR 102.11、Thunderbird 102.12に存在するメモリの安全性のバグ。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、手間をかけることにより、これらの一部が悪用され、任意のコードが実行される可能性があると推測しています。この脆弱性の影響を受けるのは、Firefox ESR < 102.12、Firefox < 114、Thunderbird < 102.12です。(CVE-2023-34416)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

SUSE SLES15 セキュリティ更新プログラム: MozillaFirefox (SUSE-SU-2023:2440-1)

critical Nessus プラグイン ID 176964

バージョン 1.0