MozillaFirefox用のこの更新プログラムでは、次の問題が修正されます： 

MozillaFirefoxが60.7.0esrに更新されました（boo#1135824 MFSA 2019-14）：

  - CVE-2018-18511：ImageBitmapRenderingContextによる画像のクロスオリジン盗難

  - CVE-2019-11691：XMLHttpRequestでのメモリ解放後使用（Use After Free）

  - CVE-2019-11692：イベントリスナーマネージャーでリスナーを削除するメモリ解放後使用（Use After Free）

  - CVE-2019-11693：Linux上のWebGLバッファデータにおけるバッファオーバーフロー

  - CVE-2019-11694：（Windowsのみ）Windowsサンドボックスでの初期化されていないメモリのメモリリーク

  - CVE-2019-11698：ブックマークとの間のハイパーリンクのドラッグアンドドロップによるユーザー履歴データの盗難

  - CVE-2019-5798：Skia での領域外読み取り

  - CVE-2019-7317：libpngライブラリのpng_image_freeでのメモリ解放後使用（Use After Free）

  - CVE-2019-9797：createImageBitmapによる画像のクロスオリジン盗難

  - CVE-2019-9800：Firefox 67とFirefox ESR 60.7で修正されたメモリ安全性に関するバグ

  - CVE-2019-9815：macOSでコンテンツJavaScriptスレッドのハイパースレッディングを無効化

  - CVE-2019-9816：オブジェクトグループとUnboxedObjectsとの型の取り違え

  - CVE-2019-9817：キャンバスを使ったクロスドメイン画像の盗難

  - CVE-2019-9818：（Windowsのみ）クラッシュ生成サーバーでのメモリ解放後使用（Use After Free）

  - CVE-2019-9819：取得APIとコンパートメントの不一致

  - CVE-2019-9820：DocShellによるChromeEventHandlerのメモリ解放後使用（Use After Free）

  - CVE-2019-9821：AssertWorkerThreadでのメモリ解放後使用（Use After Free）

このMozillaThunderbird用の更新プログラムでは、次の問題が修正されています：

Mozilla Thunderbirdは60.7.0に更新されました。

  - キーボードショートカットを使用してファイルを添付するときに、WriteウィンドウのAttachmentペインがフォーカスされないようにしました

修正されたセキュリティ問題（MFSA 2019-15 boo#1135824）：

  - CVE-2018-18511：ImageBitmapRenderingContextによる画像のクロスオリジン盗難

  - CVE-2019-11691：XMLHttpRequestでのメモリ解放後使用（Use After Free）

  - CVE-2019-11692：イベントリスナーマネージャーでリスナーを削除するメモリ解放後使用（Use After Free）

  - CVE-2019-11693：Linux上のWebGLバッファデータにおけるバッファオーバーフロー

  - CVE-2019-11694：（Windowsのみ）Windowsサンドボックスでの初期化されていないメモリのメモリリーク

  - CVE-2019-11698：ブックマークとの間のハイパーリンクのドラッグアンドドロップによるユーザー履歴データの盗難

  - CVE-2019-5798：Skia での領域外読み取り

  - CVE-2019-7317：libpngライブラリのpng_image_freeでのメモリ解放後使用（Use After Free）

  - CVE-2019-9797：createImageBitmapによる画像のクロスオリジン盗難

  - CVE-2019-9800：Firefox 67とFirefox ESR 60.7で修正されたメモリ安全性に関するバグ

  - CVE-2019-9815：macOSでコンテンツJavaScriptスレッドのハイパースレッディングを無効化

  - CVE-2019-9816：オブジェクトグループとUnboxedObjectsとの型の取り違え

  - CVE-2019-9817：キャンバスを使ったクロスドメイン画像の盗難

  - CVE-2019-9818：クラッシュ生成サーバーでのメモリ解放後使用（Use After Free）

  - CVE-2019-9819：取得APIとコンパートメントの不一致

  - CVE-2019-9820：DocShellによるChromeEventHandlerのメモリ解放後使用（Use After Free）

  - LTOを無効にします（boo#1133267）。

  - rust-1.33を使用するビルドを修正するパッチを追加します：（boo#1130694）

リモートの macOS または Mac OS X ホストにインストールされている Firefox のバージョンは、67.0 より前のものです。したがって、mfsa2019-13アドバイザリに記載されているとおり、複数の脆弱性の影響を受けます。

  - chromeイベントハンドラーが使用中に解放されたとき、メモリ解放後使用Use After Freeの脆弱性が発生する可能性があります。
    これにより、悪用可能なクラッシュが発生する可能性があります。CVE-2019-9820

  - ハイパースレッディングが無効になっていない場合、以前のSpectre攻撃と同様に、タイミング攻撃の脆弱性があります。アップルは、新しいsysctlを介し、スレッド内で信頼できないコードを実行しているアプリケーションでハイパースレッディングを無効にするオプションを含む、macOS 10.14.5を出荷しています。Firefoxは現在メインスレッドとすべてのワーカースレッドでそれを利用します。注意この変更を利用するには、ユーザーはmacOS 10.14.5 に更新する必要があります。
    (CVE-2019-9815)

  - オブジェクトグループ内のJavaScriptオブジェクトを操作するとき、型の取り違えType Confusionが発生する脆弱性があり、これらのグループ内でセキュリティチェックをバイパスする可能性があります。注この脆弱性は <code>UnboxedObjects</code>でのみ実証されており、サポートされる全てのリリースでデフォルトで無効になっています。CVE-2019-9816

  - 特定の状況で、キャンバスオブジェクトを使用して異なるドメインの画像が読み取られる可能性があります。これは、同一生成元ポリシーに違反して、別のサイトから画像データを盗むために悪用される可能性があります。CVE-2019-9817

  - クラッシュレポーター用のデータを生成するために使用されるクラッシュ生成サーバーに競合状態があります。
    この問題はメインプロセスのメモリ解放後使用（Use After Free）につながり、悪用可能なクラッシュとサンドボックスエスケープを引き起こす可能性があります。注意：この脆弱性の影響を受けるのはWindowsのみです。その他のオペレーティングシステムは影響を受けません。(CVE-2019-9818)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Windows ホストにインストールされている Thunderbird は、60.7 より前のバージョンです。したがって、mfsa2019-15アドバイザリに記載されているとおり、複数の脆弱性の影響を受けます。

  - chromeイベントハンドラーが使用中に解放されたとき、メモリ解放後使用Use After Freeの脆弱性が発生する可能性があります。
    これにより、悪用可能なクラッシュが発生する可能性があります。CVE-2019-9820

  - ハイパースレッディングが無効になっていない場合、以前のSpectre攻撃と同様に、タイミング攻撃の脆弱性があります。アップルは、新しいsysctlを介し、スレッド内で信頼できないコードを実行しているアプリケーションでハイパースレッディングを無効にするオプションを含む、macOS 10.14.5を出荷しています。Firefoxは現在メインスレッドとすべてのワーカースレッドでそれを利用します。注意この変更を利用するには、ユーザーはmacOS 10.14.5 に更新する必要があります。
    (CVE-2019-9815)

  - オブジェクトグループ内のJavaScriptオブジェクトを操作するとき、型の取り違えType Confusionが発生する脆弱性があり、これらのグループ内でセキュリティチェックをバイパスする可能性があります。注この脆弱性は <code>UnboxedObjects</code>でのみ実証されており、サポートされる全てのリリースでデフォルトで無効になっています。CVE-2019-9816

  - 特定の状況で、キャンバスオブジェクトを使用して異なるドメインの画像が読み取られる可能性があります。これは、同一生成元ポリシーに違反して、別のサイトから画像データを盗むために悪用される可能性があります。CVE-2019-9817

  - クラッシュレポーター用のデータを生成するために使用されるクラッシュ生成サーバーに競合状態があります。
    この問題はメインプロセスのメモリ解放後使用（Use After Free）につながり、悪用可能なクラッシュとサンドボックスエスケープを引き起こす可能性があります。注意：この脆弱性の影響を受けるのはWindowsのみです。その他のオペレーティングシステムは影響を受けません。(CVE-2019-9818)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

MozillaFirefox用のこの更新プログラムでは、次の問題が修正されます： 

修正されたセキュリティ問題：

CVE-2019-11691：XMLHttpRequestでのメモリ解放後使用（Use After Free）

CVE-2019-11692：イベントリスナーマネージャーでリスナーを削除するメモリ解放後使用（Use After Free）

CVE-2019-11693：Linux上のWebGLバッファデータにおけるバッファオーバーフロー

CVE-2019-11694：Windowsサンドボックスでの初期化されていないメモリのメモリリーク

CVE-2019-11698：ブックマークとの間のハイパーリンクのドラッグアンドドロップによるユーザー履歴データの盗難

CVE-2019-7317：libpngライブラリのpng_image_freeでのメモリ解放後使用（Use After Free）

CVE-2019-9800：Firefox 67とFirefox ESR 60.7で修正されたメモリ安全性に関するバグ

CVE-2019-9815：macOSでコンテンツJavaScriptスレッドのハイパースレッディングを無効化

CVE-2019-9816：オブジェクトグループとUnboxedObjectsとの型の取り違え

CVE-2019-9817：キャンバスを使ったクロスドメイン画像の盗難

CVE-2019-9818：クラッシュ生成サーバーでのメモリ解放後使用（Use After Free）

CVE-2019-9819：取得APIとコンパートメントの不一致

CVE-2019-9820：DocShellによるChromeEventHandlerのメモリ解放後使用（Use After Free）

修正された非セキュリティ問題：日本の新しい元号「令和」に対応するためのフォントと日付の調整

Firefox ESR 60.7に更新します（bsc#1135824）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

Mozilla Foundation による報告：

CVE-2019-9815:macOSでコンテンツJavaScriptスレッドのハイパースレッディングを無効化

CVE-2019-9816:オブジェクトグループとUnboxedObjectsとの型の取り違え

CVE-2019-9817:キャンバスを使ったクロスドメイン画像の盗難

CVE-2019-9818:クラッシュ生成サーバーでのメモリ解放後使用（Use After Free）

CVE-2019-9819:取得APIとコンパートメントの不一致

CVE-2019-9820:DocShellによるChromeEventHandlerのメモリ解放後使用（Use After Free）

CVE-2019-9821:AssertWorkerThreadでのメモリ解放後使用（Use After Free）

CVE-2019-11691:XMLHttpRequestでのメモリ解放後使用（Use After Free）

CVE-2019-11692:イベントリスナーマネージャーでリスナーを削除するメモリ解放後使用（Use After Free）

CVE-2019-11693:LinuxのWebGLバッファデータにおけるバッファオーバーフロー

CVE-2019-7317:libpngライブラリのpng_image_freeでのメモリ解放後使用（Use After Free）

CVE-2019-11694:Windowsサンドボックスの初期化されていないメモリのメモリリーク

CVE-2019-11695:カスタムカーソルがWebコンテンツ外部でユーザーインターフェイスをレンダリング可能である

CVE-2019-11696:Java Web Startの.JNLPファイルが、ダウンロードプロンプトの実行可能ファイルとして認識されない

CVE-2019-11697:キーの組み合わせを押すと、インストールプロンプトの遅延がバイパスされ拡張機能がインストールされる可能性がある

CVE-2019-11698:ブックマークとの間のハイパーリンクのドラッグアンドドロップによるユーザー履歴データの盗難

CVE-2019-11700: res:プロトコルを使用して既知のローカルファイルが開かれる可能性がある

CVE-2019-11699:ページナビゲーション中の正しくないドメイン名のハイライト

CVE-2019-11701: webcal: プロトコルのデフォルトハンドラーにより脆弱なWebページが読み込まれる

CVE-2019-9814:Firefox 67で修正されたメモリ安全性に関するバグ

CVE-2019-9800:Firefox 67とFirefox ESR 60.7で修正されたメモリ安全性に関するバグ

リモートの Windows ホストにインストールされている Firefox のバージョンは、67.0 より前です。したがって、mfsa2019-13アドバイザリに記載されているとおり、複数の脆弱性の影響を受けます。

  - chromeイベントハンドラーが使用中に解放されたとき、メモリ解放後使用Use After Freeの脆弱性が発生する可能性があります。
    これにより、悪用可能なクラッシュが発生する可能性があります。CVE-2019-9820

  - ハイパースレッディングが無効になっていない場合、以前のSpectre攻撃と同様に、タイミング攻撃の脆弱性があります。アップルは、新しいsysctlを介し、スレッド内で信頼できないコードを実行しているアプリケーションでハイパースレッディングを無効にするオプションを含む、macOS 10.14.5を出荷しています。Firefoxは現在メインスレッドとすべてのワーカースレッドでそれを利用します。注意この変更を利用するには、ユーザーはmacOS 10.14.5 に更新する必要があります。
    (CVE-2019-9815)

  - オブジェクトグループ内のJavaScriptオブジェクトを操作するとき、型の取り違えType Confusionが発生する脆弱性があり、これらのグループ内でセキュリティチェックをバイパスする可能性があります。注この脆弱性は <code>UnboxedObjects</code>でのみ実証されており、サポートされる全てのリリースでデフォルトで無効になっています。CVE-2019-9816

  - 特定の状況で、キャンバスオブジェクトを使用して異なるドメインの画像が読み取られる可能性があります。これは、同一生成元ポリシーに違反して、別のサイトから画像データを盗むために悪用される可能性があります。CVE-2019-9817

  - クラッシュレポーター用のデータを生成するために使用されるクラッシュ生成サーバーに競合状態があります。
    この問題はメインプロセスのメモリ解放後使用（Use After Free）につながり、悪用可能なクラッシュとサンドボックスエスケープを引き起こす可能性があります。注意：この脆弱性の影響を受けるのはWindowsのみです。その他のオペレーティングシステムは影響を受けません。(CVE-2019-9818)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Windowsサンドボックスに脆弱性があり、それ以外の方法では使用できないファイルにアクセスするための呼び出しを行うとき、メモリ内の未初期化値がブローカーからレンダラーに漏えいされる可能性があります。これにより、そのメモリの場所に格納されている情報が漏えいされる可能性があります。 *注意この問題は Windows でのみ発生します。
    その他のオペレーティングシステムは影響を受けません。* この脆弱性の影響を受けるのは、Thunderbird < 60.7、Firefox < 67、Firefox ESR < 60.7です。CVE-2019-11694

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの macOS または Mac OS X ホストにインストールされている Firefox ESR のバージョンは、60.7 より前のものです。したがって、mfsa2019-14アドバイザリに記載されているとおり、複数の脆弱性の影響を受けます。

  - chromeイベントハンドラーが使用中に解放されたとき、メモリ解放後使用Use After Freeの脆弱性が発生する可能性があります。
    これにより、悪用可能なクラッシュが発生する可能性があります。CVE-2019-9820

  - ハイパースレッディングが無効になっていない場合、以前のSpectre攻撃と同様に、タイミング攻撃の脆弱性があります。アップルは、新しいsysctlを介し、スレッド内で信頼できないコードを実行しているアプリケーションでハイパースレッディングを無効にするオプションを含む、macOS 10.14.5を出荷しています。Firefoxは現在メインスレッドとすべてのワーカースレッドでそれを利用します。注意この変更を利用するには、ユーザーはmacOS 10.14.5 に更新する必要があります。
    (CVE-2019-9815)

  - オブジェクトグループ内のJavaScriptオブジェクトを操作するとき、型の取り違えType Confusionが発生する脆弱性があり、これらのグループ内でセキュリティチェックをバイパスする可能性があります。注この脆弱性は <code>UnboxedObjects</code>でのみ実証されており、サポートされる全てのリリースでデフォルトで無効になっています。CVE-2019-9816

  - 特定の状況で、キャンバスオブジェクトを使用して異なるドメインの画像が読み取られる可能性があります。これは、同一生成元ポリシーに違反して、別のサイトから画像データを盗むために悪用される可能性があります。CVE-2019-9817

  - クラッシュレポーター用のデータを生成するために使用されるクラッシュ生成サーバーに競合状態があります。
    この問題はメインプロセスのメモリ解放後使用（Use After Free）につながり、悪用可能なクラッシュとサンドボックスエスケープを引き起こす可能性があります。注意：この脆弱性の影響を受けるのはWindowsのみです。その他のオペレーティングシステムは影響を受けません。(CVE-2019-9818)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの macOS または Mac OS X のホストにインストールされている Thunderbird のバージョンは、60.7 より前です。したがって、mfsa2019-15アドバイザリに記載されているとおり、複数の脆弱性の影響を受けます。

  - chromeイベントハンドラーが使用中に解放されたとき、メモリ解放後使用Use After Freeの脆弱性が発生する可能性があります。
    これにより、悪用可能なクラッシュが発生する可能性があります。CVE-2019-9820

  - ハイパースレッディングが無効になっていない場合、以前のSpectre攻撃と同様に、タイミング攻撃の脆弱性があります。アップルは、新しいsysctlを介し、スレッド内で信頼できないコードを実行しているアプリケーションでハイパースレッディングを無効にするオプションを含む、macOS 10.14.5を出荷しています。Firefoxは現在メインスレッドとすべてのワーカースレッドでそれを利用します。注意この変更を利用するには、ユーザーはmacOS 10.14.5 に更新する必要があります。
    (CVE-2019-9815)

  - オブジェクトグループ内のJavaScriptオブジェクトを操作するとき、型の取り違えType Confusionが発生する脆弱性があり、これらのグループ内でセキュリティチェックをバイパスする可能性があります。注この脆弱性は <code>UnboxedObjects</code>でのみ実証されており、サポートされる全てのリリースでデフォルトで無効になっています。CVE-2019-9816

  - 特定の状況で、キャンバスオブジェクトを使用して異なるドメインの画像が読み取られる可能性があります。これは、同一生成元ポリシーに違反して、別のサイトから画像データを盗むために悪用される可能性があります。CVE-2019-9817

  - クラッシュレポーター用のデータを生成するために使用されるクラッシュ生成サーバーに競合状態があります。
    この問題はメインプロセスのメモリ解放後使用（Use After Free）につながり、悪用可能なクラッシュとサンドボックスエスケープを引き起こす可能性があります。注意：この脆弱性の影響を受けるのはWindowsのみです。その他のオペレーティングシステムは影響を受けません。(CVE-2019-9818)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Windows ホストにインストールされている Firefox ESR のバージョンは、60.7 より前のものです。したがって、mfsa2019-14アドバイザリに記載されているとおり、複数の脆弱性の影響を受けます。

  - chromeイベントハンドラーが使用中に解放されたとき、メモリ解放後使用Use After Freeの脆弱性が発生する可能性があります。
    これにより、悪用可能なクラッシュが発生する可能性があります。CVE-2019-9820

  - ハイパースレッディングが無効になっていない場合、以前のSpectre攻撃と同様に、タイミング攻撃の脆弱性があります。アップルは、新しいsysctlを介し、スレッド内で信頼できないコードを実行しているアプリケーションでハイパースレッディングを無効にするオプションを含む、macOS 10.14.5を出荷しています。Firefoxは現在メインスレッドとすべてのワーカースレッドでそれを利用します。注意この変更を利用するには、ユーザーはmacOS 10.14.5 に更新する必要があります。
    (CVE-2019-9815)

  - オブジェクトグループ内のJavaScriptオブジェクトを操作するとき、型の取り違えType Confusionが発生する脆弱性があり、これらのグループ内でセキュリティチェックをバイパスする可能性があります。注この脆弱性は <code>UnboxedObjects</code>でのみ実証されており、サポートされる全てのリリースでデフォルトで無効になっています。CVE-2019-9816

  - 特定の状況で、キャンバスオブジェクトを使用して異なるドメインの画像が読み取られる可能性があります。これは、同一生成元ポリシーに違反して、別のサイトから画像データを盗むために悪用される可能性があります。CVE-2019-9817

  - クラッシュレポーター用のデータを生成するために使用されるクラッシュ生成サーバーに競合状態があります。
    この問題はメインプロセスのメモリ解放後使用（Use After Free）につながり、悪用可能なクラッシュとサンドボックスエスケープを引き起こす可能性があります。注意：この脆弱性の影響を受けるのはWindowsのみです。その他のオペレーティングシステムは影響を受けません。(CVE-2019-9818)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
125809	openSUSEセキュリティ更新プログラム：MozillaFirefox（openSUSE-2019-1534）	Nessus	SuSE Local Security Checks	2019/6/11	2024/5/16	critical
125669	openSUSEセキュリティ更新プログラム：MozillaThunderbird（openSUSE-2019-1484）	Nessus	SuSE Local Security Checks	2019/6/3	2024/5/17	critical
125360	Mozilla Firefox < 67.0	Nessus	MacOS X Local Security Checks	2019/5/23	2025/11/18	critical
125359	Mozilla Thunderbird < 60.7	Nessus	Windows	2019/5/23	2025/11/18	critical
125702	SUSE SLED15 / SLES15セキュリティ更新プログラム：MozillaFirefox（SUSE-SU-2019:1405-1）	Nessus	SuSE Local Security Checks	2019/6/4	2024/5/17	critical
125346	FreeBSD: mozilla -- 複数の脆弱性（44b6dfbf-4ef7-4d52-ad52-2b1b05d81272）	Nessus	FreeBSD Local Security Checks	2019/5/23	2024/5/21	critical
125361	Mozilla Firefox < 67.0	Nessus	Windows	2019/5/23	2025/11/18	critical
249841	Linux Distros のパッチ未適用の脆弱性: CVE-2019-11694	Nessus	Misc.	2025/8/15	2025/8/15	high
125362	Mozilla Firefox ESR < 60.7	Nessus	MacOS X Local Security Checks	2019/5/23	2025/11/18	critical
125358	Mozilla Thunderbird < 60.7	Nessus	MacOS X Local Security Checks	2019/5/23	2025/11/18	critical
125363	Mozilla Firefox ESR < 60.7	Nessus	Windows	2019/5/23	2025/11/18	critical
125672	SUSE SLED12 / SLES12セキュリティ更新プログラム：MozillaFirefox（SUSE-SU-2019:1388-1）	Nessus	SuSE Local Security Checks	2019/6/3	2024/5/17	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

high

critical

critical

critical

critical