Firefoxで複数のセキュリティの問題が発見されました。ユーザーが誘導されて特別に細工されたWebサイトを開くと、攻撃者はこれらを悪用して、サービス拒否、CSP制限のバイパス、プロトコル登録通知バーの偽装、SameSite Cookieの漏えい、混合コンテンツ警告のバイパス、任意のコードの実行などをする可能性があります。(CVE-2018-12388、CVE-2018-12390、CVE-2018-12392、CVE-2018-12393、CVE-2018-12398、CVE-2018-12399、CVE-2018-12401、CVE-2018-12402、CVE-2018-12403) 

FirefoxのWebExtensionsで複数のセキュリティの問題が発見されました。ユーザーが誘導されて特別に細工された拡張機能をインストールした場合、攻撃者がこれらを悪用してドメイン制限をバイパスしたり、追加の権限を取得したり、ローカルページでアクセス許可なくコンテンツスクリプトを実行したりする可能性があります。(CVE-2018-12395、CVE-2018-12396、CVE-2018-12397)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートのWindowsホストにインストールされているMozilla Firefoxのバージョンは63より前です。したがって、以下の複数の脆弱性による影響を受けます。

  - During HTTP Live Stream playback on Firefox for Android, audio data can be accessed across origins in violation of security policies. この問題は基盤となるAndroidサービスにあるため、すべてのHLSストリームをオリジン間として扱い、アクセスを不透明にすることで対処されます。*注：この問題はFirefox for Androidにのみ影響します。Desktop versions of Firefox are unaffected.* (CVE-2018-12391)

  - When manipulating user events in nested loops while opening a document through script, it is possible to trigger a potentially exploitable crash due to poor event handling. (CVE-2018-12392)

  - A potential vulnerability was found in 32-bit builds where an integer overflow during the conversion of scripts to an internal UTF-16 representation could result in allocating a buffer too small for the conversion. This leads to a possible out-of-bounds write. *Note: 64-bit builds are not vulnerable to this issue.* (CVE-2018-12393)

  - By rewriting the Host request headers using the webRequest API, a WebExtension can bypass domain restrictions through domain fronting. This would allow access to domains that share a host that are otherwise restricted. (CVE-2018-12395)

  - A vulnerability where a WebExtension can run content scripts in disallowed contexts following navigation or other events. This allows for potential privilege escalation by the WebExtension on sites where content scripts should not be run. (CVE-2018-12396)

  - A WebExtension can request access to local files without the warning prompt stating that the extension will 'Access your data for all websites' being displayed to the user. This allows extensions to run content scripts in local pages without permission warnings when a local file is opened. (CVE-2018-12397)

  - By using the reflected URL in some special resource URIs, such as chrome: , it is possible to inject stylesheets and bypass Content Security Policy (CSP). (CVE-2018-12398)

  - When a new protocol handler is registered, the API accepts a title argument which can be used to mislead users about which domain is registering the new protocol. これにより、ユーザーは持っていないはずのプロトコルハンドラーを承認する可能性があります。
    (CVE-2018-12399)

  - In private browsing mode on Firefox for Android, favicons are cached in the cache/icons folder as they are in non-private mode.
    これにより、プライベートブラウジングセッション中に訪問したサイトから情報が漏えいする可能性があります。*注：この問題はFirefox for Androidにのみ影響します。Desktop versions of Firefox are unaffected.* (CVE-2018-12400)

  - Some special resource URIs will cause a non-exploitable crash if loaded with optional parameters following a '?' in the parsed string. これにより、サービス拒否（DoS）攻撃が引き起こされる可能性があります。
    (CVE-2018-12401)

  - SameSite cookies are sent on cross-origin requests when the 'Save Page As...' menu item is selected to save a page, violating cookie policy. This can result in saving the wrong version of resources based on those cookies. (CVE-2018-12402)

  - If a site is loaded over a HTTPS connection but loads a favicon resource over HTTP, the mixed content warning is not displayed to users. (CVE-2018-12403)

  - Mozilla developers and community members Christian Holler, Dana Keeler, Ronald Crane, Marcia Knous, Tyson Smith, Daniel Veditz, and Steve Fink reported memory safety bugs present in Firefox 62.
    Some of these bugs showed evidence of memory corruption and we presume that with enough effort that some of these could be exploited to run arbitrary code. (CVE-2018-12388)

  - Mozilla developers and community members Christian Holler, Bob Owen, Boris Zbarsky, Calixte Denizet, Jason Kratzer, Jed Davis, Taegeon Lee, Philipp, Ronald Crane, Raul Gurzau, Gary Kwong, Tyson Smith, Raymond Forbes, and Bogdan Tara reported memory safety bugs present in Firefox 62 and Firefox ESR 60.2. Some of these bugs showed evidence of memory corruption and we presume that with enough effort that some of these could be exploited to run arbitrary code. (CVE-2018-12390)

Nessus はこれらの問題を悪用したことはありませんが、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 内部 WebBrowserPersist コードが、保存されるリソースに対して適切な元のコンテキストを使用しません。これは、サブリソースが[Save Page As...]機能の一部として読み込まれたときに発生します。たとえば、悪意のあるページは、訪問者に Web ページ全体を保存させることができれば、他の方法では悪意のあるページに到達できないリソースを含めることで、訪問者の Windows ユーザー名と NTLM ハッシュを復元する可能性があります。
    同様に、SameSite Cookie は、ページを保存するために [Save Page As...] メニュー項目が選択されているときに、オリジン間リクエストで送信され、これらの Cookie に基づいて誤ったバージョンのリソースが保存される可能性があります。
    この脆弱性は Firefox < 63 に影響します。（CVE-2018-12402）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Mozilla Foundation による報告：

CVE-2018-12391:HTTP Live Streamオーディオデータはクロスオリジンでアクセス可能

CVE-2018-12392:ネストされたイベントループによるクラッシュ

CVE-2018-12393:JavaScript読み込み時におけるUnicode変換中の整数オーバーフロー

CVE-2018-12395:ヘッダーのリライトによるドメイン制限のWebExtensionバイパス

CVE-2018-12396:WebExtensionコンテンツスクリプトは、許可されていないコンテキストで実行する可能性があります

CVE-2018-12397 :

CVE-2018-12398:リソースURIでのスタイルシートインジェクションによるCSPバイパス

CVE-2018-12399:プロトコル登録通知バーのスプーフィング

CVE-2018-12400:ファビコンは、Android用Firefoxのプライベートブラウジングモードでキャッシュされます

CVE-2018-12401:特別なリソースURI解析によるDOS攻撃

CVE-2018-12402:ページが明示的に保存されると、SameSite cookieが漏洩します

CVE-2018-12403:HTTPSページがHTTPでfaviconをロードする際に、混合コンテンツの警告が表示されません

CVE-2018-12388:Firefox 63で修正されたメモリの安全性に関するバグ

CVE-2018-12390:Firefox 63およびFirefox ESR60.3で修正されたメモリの安全性に関するバグ

リモートのmacOSホストにインストールされているMozilla Firefoxのバージョンは、63より前です。したがって、複数の脆弱性の影響を受けます。- Firefox for AndroidでHTTP Live Streamを再生中に、セキュリティポリシーに違反してオリジン間で音声データにアクセスされる可能性があります。この問題は基盤となるAndroidサービスにあるため、すべてのHLSストリームをオリジン間として扱い、アクセスを不透明にすることで対処されます。*注：この問題はFirefox for Androidにのみ影響します。Firefoxのデスクトップバージョンは影響を受けません。*（CVE-2018-12391）- スクリプトを使用して文書を開いている間にネストされたループ内のユーザーイベントを操作するとき、イベント処理が不適切であるために悪用可能なクラッシュを引き起こす可能性があります。（CVE-2018-12392）- スクリプトを内部UTF-16表現に変換するときに整数オーバーフローが発生することにより、バッファの割り当てが変換に対して足りなくなる脆弱性が、32ビットビルドにあります。これによって領域外書き込みが発生する可能性があります。*注：64ビットビルドにはこの問題に対する脆弱性はありません。*（CVE-2018-12393）- webRequest APIを使用してホストリクエストヘッダーを書き換えることで、WebExtensionはドメインフロンティングを介してドメインの制限をバイパスする可能性があります。これにより、制限のあるホストを共有するドメインへのアクセスが可能になります。（CVE-2018-12395）- WebExtensionがナビゲーションやその他のイベントの後に許可されていないコンテキストでコンテンツスクリプトを実行できる脆弱性があります。これにより、コンテンツスクリプトを実行しないサイトにおけるWebExtensionによる権限昇格の可能性があります。（CVE-2018-12396）- WebExtensionが「すべてのWebサイトのデータにアクセスします」という警告プロンプトをユーザーに表示せずにローカルファイルへのアクセスを要求する可能性があります。これにより、ローカルファイルを開いたときに、拡張機能がアクセス許可の警告なしにローカルページでコンテンツスクリプトを実行する可能性があります。（CVE-2018-12397）- chromeなどのいくつかの特別なリソースURIで反映されたURLを使用することにより、スタイルシートを挿入してCSP（コンテンツセキュリティポリシー）をバイパスできます。（CVE-2018-12398）- 新しいプロトコルハンドラーが登録されるとき、APIはタイトル引数を受け取ります。この引数を悪用して、新しいプロトコルを登録しているドメインを誤解するようユーザーが誘導される可能性があります。これにより、ユーザーは持っていないはずのプロトコルハンドラーを承認する可能性があります。（CVE-2018-12399）- Firefox for Androidのプライベートブラウジングモードでは、ファビコンは非プライベートモードと同じようにcache/iconsフォルダーにキャッシュされます。これにより、プライベートブラウジングセッション中に訪問したサイトから情報が漏えいする可能性があります。*注：この問題はFirefox for Androidにのみ影響します。Firefoxのデスクトップバージョンは影響を受けません。*（CVE-2018-12400）- いくつかの特別なリソースURIは、解析文字列の「？」の後のオプションのパラメータをロードすると、悪用できないクラッシュを引き起こします。これにより、サービス拒否（DoS）攻撃が引き起こされる可能性があります。（CVE-2018-12401）- ［名前を付けてページを保存...］のメニュー項目を選択してページを保存するとき、SameSite Cookieがオリジン間リクエストで送信され、Cookieポリシーに違反します。その結果、これらのCookieに基づいて間違ったバージョンのリソースが保存される可能性があります。（CVE-2018-12402）- サイトがHTTPS接続経由でロードされており、ファビコンリソースがHTTP経由でロードされても、混在コンテンツの警告がユーザーに表示されません。（CVE-2018-12403）- Mozillaの開発者とコミュニティのメンバーChristian Holler氏、Dana Keeler氏、Ronald Crane氏、Marcia Knous氏、Tyson Smith氏、Daniel Veditz氏、Steve Fink氏は、Firefox 62にあるメモリ安全性のバグを報告しました。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、手間をかけることにより、これらの一部が悪用され、任意のコードが実行される可能性があると推測しています。（CVE-2018-12388）- Mozillaの開発者およびコミュニティメンバーであるChristian Holler氏、Bob Owen氏、Boris Zbarsky氏、Calixte Denizet氏、Jason Kratzer氏、Jed Davis氏、Taegeon Lee氏、Philipp氏、Ronald Crane氏、Raul Gurzau氏、Gary Kwong氏、Tyson Smith氏、Raymond Forbes氏、Bogdan Tara氏は、Firefox 62とFirefox ESR 60.2にあるメモリの安全性のバグを報告しました。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、攻撃者が相当な試みを行えば、これらの一部が悪用され、任意のコードが実行される可能性があると推測しています。（CVE-2018-12390）Nessusはこれらの問題を悪用しておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
118393	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS : Firefox の脆弱性 (USN-3801-1)	Nessus	Ubuntu Local Security Checks	2018/10/25	2024/8/27	critical
118397	Mozilla Firefox < 63の複数の脆弱性	Nessus	Windows	2018/10/25	2024/7/29	critical
222022	Linux Distros のパッチ未適用の脆弱性: CVE-2018-12402	Nessus	Misc.	2025/3/4	2025/3/4	medium
118336	FreeBSD: mozilla -- 複数の脆弱性（7c3a02b9-3273-4426-a0ba-f90fad2ff72e）	Nessus	FreeBSD Local Security Checks	2018/10/24	2024/7/29	critical
118396	Mozilla Firefox < 63の複数の脆弱性（macOS）	Nessus	MacOS X Local Security Checks	2018/10/25	2024/7/29	critical

検出

プラグインの検索

critical

critical

medium

critical

critical