Mozilla Firefox および Thunderbird は、複数の重要度が高い脆弱性を修正するために、更新されました。

Mozilla Firefox は 37.0.1 に更新されました。Mozilla Thunderbird は 31.6.0 に更新されました。mozilla-nspr は、依存関係があるため 4.10.8 に更新されました。

Mozilla Firefox で、以下の脆弱性が修正されました。

- その他のメモリの安全に関する問題（MFSA 2015-30/CVE-2015-0814/CVE-2015-0815 boo#925392）

- Fluendo MP3 GStreamer プラグインを使用している場合での use-after-free（MFSA 2015-31/CVE-2015-0813 bmo#1106596 boo#925393）

- MITM 攻撃により、アドオン軽量テーマのインストール承認がバイパスされます（MFSA 2015-32/CVE-2015-0812 bmo#1128126 boo#925394）

- リソース：// ドキュメントは権限のあるページを読み込めません（MFSA 2015-33/CVE-2015-0816 bmo#1144991 boo#925395）

- QCMS ライブラリでの領域外読み取り（MFSA-2015-34/CVE-2015-0811 bmo#1132468 boo#925396）

- WebRTC でのシンプルタイプ配列に対する不適切なメモリ管理（MFSA-2015-36/CVE-2015-0808 bmo#1109552 boo#925397）

- preflight 後に CORS リクエストは 30x リダイレクトに従うべきではありません（MFSA-2015-37/CVE-2015-0807 bmo#1111834 boo#925398）

- Off Main Thread Compositing でのメモリ破損クラッシュ（MFSA-2015-38/CVE-2015-0805/CVE-2015-0806 bmo#1135511 bmo#1099437 boo#925399）

- 型の取り違え（Type Confusion）欠陥による use-after-free （MFSA-2015-39/CVE-2015-0803/CVE-2015-0804 bmo#1134560 boo#925400）

- 同一生成元はアンカーナビゲーションをバイパスします（MFSA-2015-40/CVE-2015-0801 bmo#1146339 boo#925401）

- Windows では、権限のないページへのナビゲーションで、権限のあるコンテンツへのアクセス権を持ち続けることができます（MFSA-2015-42/CVE-2015-0802 bmo#1124898 boo#925402）

openSUSE への更新としてリリースされていない機能性で、以下の脆弱性が修正されました。

- 証明書の検証は、HTTP/2 Alt-Svc ヘッダーを経由してバイパスされることがあります（MFSA 2015-44/CVE-2015-0799 bmo#1148328 bnc#926166）

37.0 で機能性が追加され、37.0.1 で以下が削除されました。

- サーバーが HTTP/2 AltSvc をサポートしているところでは、HTTP トラフィックは時機に応じて暗号化されます

Mozilla Firefox で、以下の機能が追加または更新されました。

- ハートビートユーザー評価システム

- トルコ語ロケール用のデフォルトの検索プロバイダーとして設定された Yandex

- Bing 検索は、安全に検索するために HTTPS を使用するようになりました

- OneCRL 一元化証明書失効を介したサイト偽装に対する、改善された保護

- TLS に対する幾分の動作変更

Mozilla Thunderbird で、以下の脆弱性が修正されました。

- その他のメモリの安全に関する問題（MFSA 2015-30/CVE-2015-0814/CVE-2015-0815 boo#925392）

- Fluendo MP3 GStreamer プラグインを使用している場合での use-after-free（MFSA 2015-31/CVE-2015-0813 bmo#1106596 boo#925393）

- リソース：// ドキュメントは権限のあるページを読み込めません（MFSA 2015-33/CVE-2015-0816 bmo#1144991 boo#925395）

- preflight 後に CORS リクエストは 30x リダイレクトに従うべきではありません（MFSA-2015-37/CVE-2015-0807 bmo#1111834 boo#925398）

- 同一生成元はアンカーナビゲーションをバイパスします（MFSA-2015-40/CVE-2015-0801 bmo#1146339 boo#925401）

依存関係により、mozilla-nspr が 4.10.8 に更新され、以下の変更を受けました。

- bmo#573192：スタックベースの PRFileDesc キャッシュが削除されます。

- bmo#756047：識別子が定義されているかだけを確認する代わりに、_POSIX_THREAD_PRIORITY_SCHEDULING > 0 が確認されます。

- bmo#1089908：_PR_MD_LOCKFILE での変数シャドウイングが修正されます。
 Use PR_ARRAY_SIZE を使用して 
 _PR_RUNQ(t->cpu) の配列サイズが取得されます。

- bmo#1106600：PR_ASSERT(!'foo') を PR_NOT_REACHED('foo') に置き換えることにより、clang -Wstring-conversion 警告が修正されます。

検出

openSUSE のセキュリティ更新：MozillaFirefox / MozillaThunderbird / mozilla-nspr （openSUSE-2015-290）

high Nessus プラグイン ID 82651

変更ログが見つかりません