Mozilla Firefox は 17.0.7 ESR バージョンに更新され、バグとセキュリティ問題が修正されました。

- Mozilla 開発者が Firefox およびその他の Mozilla ベースの製品で使用されているブラウザエンジンで、いくつかのメモリの安全性に関するバグを特定し、修正しました。これらのバグの一部には、特定の条件下でのメモリ破損の証拠が示されていました。十分な努力をすれば少なくともこれらの一部を悪用して、任意のコードが実行されることがあると、弊社では推測しています。（MFSA 2013-49）

Gary Kwong 氏、Jesse Ruderman 氏、Andrew McCreight 氏は、Firefox ESR 17 と Firefox 21 に影響を与える、メモリの安全性に関する問題とクラッシュについて報告しました。(CVE-2013-1682)

- Google Chrome セキュリティチームのセキュリティ研究者である Abhishek Arya 氏（Inferno）は、Address Sanitizer ツールを使用して、セキュリティの課題として重要と査定される出荷ソフトウェアにある use-after-free の一連の問題を発見しました。
 これらの課題のいくつかは、悪用される可能性があり、リモートコードの実行につながることがあります。弊社は、 Firefox 開発中に紹介されたコードにある追加の use-after-free とバッファオーバーフローの欠陥についてレポートしてくれた Abhishek に感謝の意を表します。これらの欠陥は、一般公開前に修正されました。（MFSA 2013-50）

- mozilla::dom::HTMLMediaElement::LookupMediaElementURITab le の heap-use-after-free(CVE-2013-1684)

- nsIDocument::GetRootElement の heap-use-after-free
 (CVE-2013-1685)

- mozilla::ResetDir の heap-use-after-free
 (CVE-2013-1686)

- セキュリティ研究者の Mariusz Mlynski は、特定要素の XBL 範囲でユーザー定義の関数をコンパイルしてから、コードを実行するためにこの範囲内でイベントをトリガーすることが可能であることを、報告しました。状況によっては、このコードを実行すると、 System Only Wrappers（SOW）が保護するコンテンツと Chrome 権限のページにアクセスできます。これにより任意のコード実行が引き起こされる可能性があります。さらに、Web コンテンツにより Chrome Object Wrappers（COW）をバイパスし、権限のあるメソッドにアクセスすることができます。これにより、権限のあるページからのクロスサイトスクリプティング（XSS）攻撃が引き起こされる可能性があります。（MFSA 2013-51/CVE-2013-1687）

- セキュリティ研究者の Nils 氏は、onreadystatechange イベントを使用している特別に細工された Web コンテンツ、ならびにページのリロードにより、マッピングされていないメモリが実行されると、クラッシュがときどき発生することを報告しました。このクラッシュは悪用される可能性があります。（MFSA 2013-53/CVE-2013-1690）

- セキュリティ研究者の Johnathan Kuskos 氏は、Firefox が XMLHttpRequest （XHR）HEAD リクエストの本文でデータを送信しており、これが XHR の仕様に反していることを報告しました。これは、 HEAD と POST のリクエストを区別しないサイトに対するクロスサイトリクエスト偽造（CSRF）攻撃で悪用される可能性があります。
 （MFSA 2013-54/CVE-2013-1692）

- Context Information Security のセキュリティ研究者である Paul Stone 氏は、SVG 形式の画像をフィルターで処理する際に存在する時間差により、ピクセルの値を読み込むことが可能であることを発見しました。これにより、複数のドメイン間でテキストの値を読み込むことが可能であり、情報漏洩につながる可能性があります。（MFSA 2013-55/CVE-2013-1693）

- Mozilla のセキュリティ研究者である moz_bug_r_a4 は、XrayWrappers をバイパスし、コンテンツが定義された toString と valueOf のメソッドを DefaultValue で呼び出すことが可能であることを、報告しました。これにより、権限のあるコードが不適切な値で動作すると、予期しない挙動が見られることがあります。（MFSA 2013-59/CVE-2013-1697）

検出

SuSE 11.2 セキュリティ更新：Mozilla Firefox（SAT パッチ番号 7976）

critical Nessus プラグイン ID 67195

変更ログが見つかりません