リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2022:3272-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Mozilla Firefox が 102.2.0esr ESR に更新されました:

    * 修正済み:さまざまな安定性、機能性、セキュリティの修正。

    - MFSA 2022-34 (bsc#1202645)

      * CVE-2022-38472 (bmo#1769155)XSLT エラー処理によるアドレスバースプーフィング
      * CVE-2022-38473 (bmo#1771685)クロスオリジン XSLT ドキュメントが親の権限を継承していた可能性があります
      * CVE-2022-38476 (bmo#1760998)PK11_ChangePW におけるデータ競合と潜在的な use-after-free
      * CVE-2022-38477 (bmo#1760611、 bmo#1770219、 bmo#1771159、 bmo#1773363)Firefox 104 および Firefox ESR で修正されたメモリ安全性のバグ 102.2
      * CVE-2022-38478 (bmo#1770630、 bmo#1776658)Firefox 104、Firefox ESR 102.2、Firefox ESR で修正されたメモリ安全性のバグ 91.13

    Firefox 延長サポート版102.1 ESR

      * 修正済み:さまざまな安定性、機能性、セキュリティの修正。

    - MFSA 2022-30 (bsc#1201758)

      * CVE-2022-36319 (bmo#1737722)CSS 変換によるマウス位置のなりすまし
      * CVE-2022-36318 (bmo#1771774)バンドルされたリソースのディレクトリインデックスが URL パラメーターを反映
      * CVE-2022-36314 (bmo#1773894)ローカルの <code>.lnk</code> ファイルを開くと、予期しないネットワーク負荷が発生する可能性があります
      * CVE-2022-2505 (bmo#1769739、 bmo#1772824)Firefox 103 および Firefox 103 で修正されたメモリ安全性のバグ 102.1

    - Firefox 延長サポート版 102.0.1 ESR

      * 修正済み:ファイルエクスプローラーにドラッグして部分的に破損Windowsドロップすることによるブックマークショートカット作成を修正しました(bmo#1774683)
      * 修正済み:ダークモードで開いたときにブックマークのサイドバーが白く点滅する問題を修正しました(bmo#1776157)
      * 修正済み:英語および非ラテン文字両方のコンテンツで多言語スペルチェックが機能しない問題を修正しました(bmo#1773802)
      * 修正済み:開発者ツール:最後に表示されたメッセージが評価結果である場合に、コンソール出力が一番下までスクロールし続ける問題を修正しました(bmo#1776262)
      * 修正済み:*Firefox が閉じているときにクッキーとサイトデータを削除する* チェックボックスが起動時に無効になる問題を修正しました(bmo#1777419)
      * 修正済み:さまざまな安定性の修正

    Firefox 102.0 ESR:

    * 新規:

      - 現在は、より安全な接続を提供しています:Firefox は、Alt-Svc ヘッダーとして HTTPS RR を使用して、HTTPS に自動的にアップグレードできるようになりました。
      - 視聴の楽しみを高めるために、多くのシステムでビデオ再生でフルレンジのカラーレベルがサポートされるようになりました。
      - 今すぐ簡単に見つけてください! Mac ユーザーは、Firefox の [ファイル] メニューから macOS の共有オプションにアクセスできるようになりました。
      - 出来上がり?! ICC v4 プロファイルを含むイメージのサポートは、macOS で有効になっています。
      - Firefox は、最新のロイヤリティフリー AV1 ビデオコーデックに基づく新しい AVIF 画像形式をサポートするようになりました。既存の画像形式と比較して、サイトの帯域幅を大幅に節約できます。また、透明性やその他の高度な機能もサポートしています。
      - Firefox PDF ビューアーは、より多くのフォームへの入力をサポートするようになりました(例えば、複数の政府や銀行で使用されている XFA ベースのフォームなど)。
        詳細はこちら。
      - 利用可能なシステムメモリが極度に少ない場合、Windows 上の Firefox は、最終アクセス時間、メモリ使用量、およびその他の属性に基づいてタブを自動的にアンロードします。これにより、Firefox メモリ不足によるクラッシュを減らすことができます。何か忘れましたか? ロードされていないタブに切り替えると、自動的にリロードされます。
      - マウントされた .dmg ファイルから Firefox を実行している macOS ユーザーのセッション損失を防ぐために、インストールの完了を求めるメッセージが表示されるようになりました。この権限プロンプトは、これらのユーザーがコンピューターでFirefoxを初めて実行しているときにのみ表示されることに注意してください。
      - 安全のため、Firefox は安全でない接続に依存するダウンロードをブロックし、潜在的に悪意のあるダウンロードまたは安全でないダウンロードから保護するようになりました。詳細と、Firefox でダウンロードを見つける場所を確認してください。
      - SmartBlock 3.0 によるプライバシー保護のための Web 互換性の向上: プライベート ブラウジングと厳格なトラッキング保護において、Firefox は Web ブラウジング アクティビティをトラッカーから保護するために多大な努力を払っています。その一環として、組み込みのコンテンツ ブロッキングは、Disconnect が報告したクロスサイト追跡会社からサードパーティのスクリプト、画像、その他のコンテンツが読み込まれるのを自動的にブロックします。詳細はこちら。
      - Strict Tracking Protection and Private Browsing に、新しいリファラトラッキング保護を導入します。この機能は、サイトが知らず知らずのうちにトラッカーに個人情報を漏洩することを防ぎます。詳細はこちら。
      - Firefox Suggest は、アドレス バーに入力すると Web サイトの提案を提供する機能です。Web およびロケール固有の機能をすばやく操作するこの方法の詳細をご覧ください。
      - Firefox macOS は、YouTube や Twitch などのサイトでフルスクリーン ビデオに Apple の低電力モードを使用するようになりました。これにより、長時間の視聴セッションでもバッテリー寿命が大幅に延びます。
        これで、あなたの子供たちは、あなたがビートを逃すことなく、キツネがループで何を言っているかを知ることができます
      - このリリースにより、パワーユーザーは、タブを閉じずに手動でアンロードすることで、about:unloads を使用してシステムリソースを解放できます。
      - Windows では、Firefox が更新を求めないため、中断が少なくなります。代わりに、Firefox が閉じている場合でも、バックグラウンドエージェントが更新をダウンロードしてインストールします。
      - Linux では、多くのユーザーの WebGL パフォーマンスを改善し、消費電力を削減しました。
      - Spectre などのサイドチャネル攻撃からすべての Firefox ユーザーを保護するために、サイト分離を導入しました。
      - メニュー、ボタン、または 3 キーコマンドを使用してブラウザを終了したり、ウィンドウを閉じたりしたときに、Firefox がデフォルトで警告することがなくなりました。これにより、歓迎されない通知が減るはずですが、これは常に良いことですが、少し通知したい場合は、終了/閉じるモーダル動作を完全に制御できます。すべての警告は Firefox Settings で管理できます。心配ない! 詳細については、こちらをご覧ください。
      - Firefox は、Windows 11 で実行されているときに、新しいスナップ レイアウト メニューをサポートします。
      - RLBoxサードパーティライブラリの潜在的なセキュリティ脆弱性に対して Firefox を強化する新しいテクノロジーが、すべてのプラットフォームで有効になりました。
      - イベント処理中の Firefox と WindowServer の macOS の CPU 使用率を削減しました。
      - また、macOS でのソフトウェアでデコードされたビデオ、特にフルスクリーンでのビデオの電力使用量も削減されました。これには、NetflixやAmazonプライムビデオなどのストリーミングサイトが含まれます。
      - ピクチャーインピクチャートグルボタンをビデオの反対側に移動できるようになりました。新しいコンテキスト メニュー オプション「ピクチャー イン ピクチャー トグルを左側 (右) に移動」を探すだけです。
      - ノイズ抑制と自動ゲイン制御を大幅に改善し、エコーキャンセリングをわずかに改善して、全体的なエクスペリエンスを向上させました。
      - メインスレッドの負荷も大幅に低減しました。
      - 印刷時に奇数/偶数ページのみ印刷できるようになりました。
      - Firefox は、Windows 11 で新しいスタイルのスクロールバーをサポートし、表示するようになりました。
      - Firefox には、新しく最適化されたダウンロードフローがあります。毎回プロンプトを表示する代わりに、ファイルは自動的にダウンロードされます。
        ただし、ワンクリックでダウンロードパネルから開くことはできます。簡単! 詳細情報
      - Firefox は、デフォルトで各ファイルに対して何をすべきかを尋ねることがなくなりました。
        その種類のファイルのダウンロード アクション設定を変更しない限り、ファイルをダウンロードする前に、ヘルパー アプリケーションの選択またはディスクへの保存の指示は表示されません。
     - ダウンロードしたファイルはすぐにディスクに保存されます。現在の構成に応じて、ダウンロードはご希望のダウンロードフォルダに保存されるか、ダウンロードごとに場所を選択するよう求められます。Windows および Linux ユーザーは、ダウンロードしたファイルを宛先フォルダーで見つけることができます。Temp フォルダーに配置されなくなります。
      - Firefox では、ユーザーは多数の内蔵検索エンジンから選択してデフォルトとして設定できます。このリリースでは、以前にデフォルトのエンジンを設定していた一部のユーザーが、Mozilla が Firefox に特定の検索エンジンを含め続けるための正式な許可を確保できなかったため、デフォルトの検索エンジンが変更されたことに気付くかもしれません。
      - キーボードショートカット「n」で ReaderMode のナレーションを切り替えることができるようになりました。
      - PDF ビューアーで、発音区別符号の有無にかかわらず検索のサポートが追加されました。
      - Linux サンドボックスが強化され、Web コンテンツに露出されたプロセスは、もはや X Window システムにアクセスできなくなりました(X11)。
      - Firefox は、ドイツ、フランス、英国でクレジットカードの自動入力とキャプチャをサポートするようになりました。
      - ピクチャーインピクチャーで視聴するYouTube、Prime Video、Netflixビデオでのキャプション/字幕の表示をサポートするようになりました。
        ページ内のビデオプレーヤーで字幕をオンにするだけで、PiPに表示されます。
      - ピクチャーインピクチャーは、Web Video Text Track(WebVTT)形式を使用するWebサイト(Coursera.org、Canadian Broadcasting Corporationなど)のビデオキャプションもサポートするようになりました。
      - インストール後の最初の実行時に、Firefox は言語がオペレーティングシステムの言語と一致しないことを検出し、ユーザーに 2 つの言語の選択肢を提供します。
      - Firefox のスペルチェックは、複数の言語のスペルをチェックするようになりました。追加の言語を有効にするには、テキストフィールドのコンテキストメニューでそれらの言語を選択します。
      - HDR動画がMacのFirefoxでサポートされるようになりましたYouTubeから! macOS 11+ (HDR 互換画面) の Firefox ユーザーは、より忠実なビデオ コンテンツを楽しむことができます。HDRビデオサポートをオンにするために設定を手動で切り替える必要はありませんバッテリー設定が、バッテリー使用中にビデオストリーミングを最適化するように設定されていないことを確認してください。
      - ハードウェア アクセラレーションによる AV1 ビデオ デコードは、サポートされている GPU (Intel Gen 11+、Navi 24 を除く AMD RDNA 2、GeForce 30) を備えた Windows で有効になっています。Microsoft Store から AV1 ビデオ拡張機能をインストールする必要がある場合もあります。
      - Windows for Intel GPU ではビデオ オーバーレイが有効になり、ビデオ再生時の電力使用量が削減されます。
      - 他のイベントのペインティングと処理の間の公平性を改善しました。これにより、Twitch のボリューム スライダーのパフォーマンスが大幅に向上します。
      - Linux および Windows 11 のスクロールバーは、デフォルトでスペースを占有しません。Linux では、ユーザーは Settings でこれを変更できます。Windowsでは、Firefoxはシステム設定(システムSettings>アクセシビリティ>視覚効果>常にスクロールバーを表示します)に従います。
      - Firefox は現在、リファラーからのプライバシー漏洩を防ぐために、unsafe-url、no-referrer-when-downgrade、origin-when-cross-origin リクエストの制限が少ないリファラーポリシーを無視します。
      - prefers-contrast メディアクエリによる読み取りが簡単になりました。これにより、サイトは、ユーザーが Web コンテンツのコントラストをより高い(またはより低い)コントラストで表示するようにリクエストしたかどうかを検出できます。
      - すべての構成されていない MIME タイプに、ダウンロードの完了時にカスタムアクションを割り当てることができるようになりました。
      - Firefox では、ユーザーはビデオ会議中に必要な数のマイクを同時に使用できるようになりました。最もエキサイティングな利点は、いつでも簡単にマイクを切り替えることができることです (会議サービス プロバイダーがこの柔軟性を有効にしている場合)。
      - 印刷プレビューが更新されました。

      * 修正済み: さまざまなセキュリティ修正。

    - MFSA 2022-24 (bsc#1200793)

      * CVE-2022-34479 (bmo#1745595)ポップアップウィンドウのサイズを変更して、アドレスバーに Web コンテンツをオーバーレイさせることができます
      * CVE-2022-34470 (bmo#1765951)nsSHistory での use-after-free
      * CVE-2022-34468 (bmo#1768537)「allow-scripts」のない CSP サンドボックスヘッダーが、リターゲットされた javascript: URI を介してバイパスされる可能性があります
      * CVE-2022-34482 (bmo#845880)悪意のあるイメージのドラッグアンドドロップにより、悪意のある実行可能ファイルや潜在的なコードの実行を引き起こす可能性があります
      * CVE-2022-34483 (bmo#1335845)悪意のあるイメージのドラッグアンドドロップにより、悪意のある実行可能ファイルや潜在的なコードの実行を引き起こす可能性があります
      * CVE-2022-34476 (bmo#1387919)ASN.1 パーサーが騙されて、無効な形式の ASN.1 を受け入れる可能性があります
      * CVE-2022-34481 (bmo#1483699、 bmo#1497246)ReplaceElementsAt での整数オーバーフローの可能性
      * CVE-2022-34474 (bmo#1677138)サンドボックス化された iframe が外部スキームにリダイレクトされる可能性があります。
      * CVE-2022-34469 (bmo#1721220)HSTS 保護ドメインのTLS証明書エラーが、Android 用 Firefox のユーザーによってバイパスされる可能性があります
      * CVE-2022-34471 (bmo#1766047)セキュリティ上、危険にさらされたサーバーが、ブラウザを騙してアドオンをダウングレードさせる可能性があります
      * CVE-2022-34472 (bmo#1770123)PAC ファイルが利用できないため、OCSP リクエストがブロックされていました
      * ユーザーがプロンプトを受け入れた場合、 CVE-2022-34478 (bmo#1773717)Microsoftプロトコルが攻撃される可能性があります
      * CVE-2022-2200 (bmo#1771381)プロトタイプ汚染の一部として、望ましくない属性が設定される可能性があります
      * CVE-2022-34480 (bmo#1454072)lg_initの初期化されていないポインターの解放
      * CVE-2022-34477 (bmo#1731614)MediaError メッセージプロパティが、クロスオリジン同一サイトページに情報を漏洩しました
      * CVE-2022-34475 (bmo#1757210)HTML サニタイザーが use タグを介して、同一生成元スクリプトを介してバイパスされる可能性があります
      * CVE-2022-34473 (bmo#1770888)HTML サニタイザーが use タグによりバイパスされる可能性があります
      * CVE-2022-34484 (bmo#1763634、 bmo#1772651)Firefox 102 および Firefox ESR で修正されたメモリ安全性のバグ 91.11
      * CVE-2022-34485 (bmo#1768409、 bmo#1768578)Firefox 102 で修正されたメモリ安全性のバグ

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES12 / SLES_SAP12 ホストには、SUSE-SU-2022:3273-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Mozilla Firefox が 102.2.0esr ESR に更新されました:

    * 修正済み:さまざまな安定性、機能性、セキュリティの修正。

    - MFSA 2022-34 (bsc#1202645)

      * CVE-2022-38472 (bmo#1769155)XSLT エラー処理によるアドレスバースプーフィング
      * CVE-2022-38473 (bmo#1771685)クロスオリジン XSLT ドキュメントが親の権限を継承していた可能性があります
      * CVE-2022-38476 (bmo#1760998)PK11_ChangePW におけるデータ競合と潜在的な use-after-free
      * CVE-2022-38477 (bmo#1760611、 bmo#1770219、 bmo#1771159、 bmo#1773363)Firefox 104 および Firefox ESR で修正されたメモリ安全性のバグ 102.2
      * CVE-2022-38478 (bmo#1770630、 bmo#1776658)Firefox 104、Firefox ESR 102.2、Firefox ESR で修正されたメモリ安全性のバグ 91.13

    Firefox 延長サポート版102.1 ESR

      * 修正済み:さまざまな安定性、機能性、セキュリティの修正。

    - MFSA 2022-30 (bsc#1201758)

      * CVE-2022-36319 (bmo#1737722)CSS 変換によるマウス位置のなりすまし
      * CVE-2022-36318 (bmo#1771774)バンドルされたリソースのディレクトリインデックスが URL パラメーターを反映
      * CVE-2022-36314 (bmo#1773894)ローカルの <code>.lnk</code> ファイルを開くと、予期しないネットワーク負荷が発生する可能性があります
      * CVE-2022-2505 (bmo#1769739、 bmo#1772824)Firefox 103 および Firefox 103 で修正されたメモリ安全性のバグ 102.1

    - Firefox 延長サポート版 102.0.1 ESR

      * 修正済み:ファイルエクスプローラーにドラッグして部分的に破損Windowsドロップすることによるブックマークショートカット作成を修正しました(bmo#1774683)
      * 修正済み:ダークモードで開いたときにブックマークのサイドバーが白く点滅する問題を修正しました(bmo#1776157)
      * 修正済み:英語および非ラテン文字両方のコンテンツで多言語スペルチェックが機能しない問題を修正しました(bmo#1773802)
      * 修正済み:開発者ツール:最後に表示されたメッセージが評価結果である場合に、コンソール出力が一番下までスクロールし続ける問題を修正しました(bmo#1776262)
      * 修正済み:*Firefox が閉じているときにクッキーとサイトデータを削除する* チェックボックスが起動時に無効になる問題を修正しました(bmo#1777419)
      * 修正済み:さまざまな安定性の修正

    Firefox 102.0 ESR:

    * 新規:

      - 現在は、より安全な接続を提供しています:Firefox は、Alt-Svc ヘッダーとして HTTPS RR を使用して、HTTPS に自動的にアップグレードできるようになりました。
      - 視聴の楽しみを高めるために、多くのシステムでビデオ再生でフルレンジのカラーレベルがサポートされるようになりました。
      - 今すぐ簡単に見つけてください! Mac ユーザーは、Firefox の [ファイル] メニューから macOS の共有オプションにアクセスできるようになりました。
      - 出来上がり?! ICC v4 プロファイルを含むイメージのサポートは、macOS で有効になっています。
      - Firefox は、最新のロイヤリティフリー AV1 ビデオコーデックに基づく新しい AVIF 画像形式をサポートするようになりました。既存の画像形式と比較して、サイトの帯域幅を大幅に節約できます。また、透明性やその他の高度な機能もサポートしています。
      - Firefox PDF ビューアーは、より多くのフォームへの入力をサポートするようになりました(例えば、複数の政府や銀行で使用されている XFA ベースのフォームなど)。
        詳細はこちら。
      - 利用可能なシステムメモリが極度に少ない場合、Windows 上の Firefox は、最終アクセス時間、メモリ使用量、およびその他の属性に基づいてタブを自動的にアンロードします。これにより、Firefox メモリ不足によるクラッシュを減らすことができます。何か忘れましたか? ロードされていないタブに切り替えると、自動的にリロードされます。
      - マウントされた .dmg ファイルから Firefox を実行している macOS ユーザーのセッション損失を防ぐために、インストールの完了を求めるメッセージが表示されるようになりました。この権限プロンプトは、これらのユーザーがコンピューターでFirefoxを初めて実行しているときにのみ表示されることに注意してください。
      - 安全のため、Firefox は安全でない接続に依存するダウンロードをブロックし、潜在的に悪意のあるダウンロードまたは安全でないダウンロードから保護するようになりました。詳細と、Firefox でダウンロードを見つける場所を確認してください。
      - SmartBlock 3.0 によるプライバシー保護のための Web 互換性の向上: プライベート ブラウジングと厳格なトラッキング保護において、Firefox は Web ブラウジング アクティビティをトラッカーから保護するために多大な努力を払っています。その一環として、組み込みのコンテンツ ブロッキングは、Disconnect が報告したクロスサイト追跡会社からサードパーティのスクリプト、画像、その他のコンテンツが読み込まれるのを自動的にブロックします。詳細はこちら。
      - Strict Tracking Protection and Private Browsing に、新しいリファラトラッキング保護を導入します。この機能は、サイトが知らず知らずのうちにトラッカーに個人情報を漏洩することを防ぎます。詳細はこちら。
      - Firefox Suggest は、アドレス バーに入力すると Web サイトの提案を提供する機能です。Web およびロケール固有の機能をすばやく操作するこの方法の詳細をご覧ください。
      - Firefox macOS は、YouTube や Twitch などのサイトでフルスクリーン ビデオに Apple の低電力モードを使用するようになりました。これにより、長時間の視聴セッションでもバッテリー寿命が大幅に延びます。
        これで、あなたの子供たちは、あなたがビートを逃すことなく、キツネがループで何を言っているかを知ることができます
      - このリリースにより、パワーユーザーは、タブを閉じずに手動でアンロードすることで、about:unloads を使用してシステムリソースを解放できます。
      - Windows では、Firefox が更新を求めないため、中断が少なくなります。代わりに、Firefox が閉じている場合でも、バックグラウンドエージェントが更新をダウンロードしてインストールします。
      - Linux では、多くのユーザーの WebGL パフォーマンスを改善し、消費電力を削減しました。
      - Spectre などのサイドチャネル攻撃からすべての Firefox ユーザーを保護するために、サイト分離を導入しました。
      - メニュー、ボタン、または 3 キーコマンドを使用してブラウザを終了したり、ウィンドウを閉じたりしたときに、Firefox がデフォルトで警告することがなくなりました。これにより、歓迎されない通知が減るはずですが、これは常に良いことですが、少し通知したい場合は、終了/閉じるモーダル動作を完全に制御できます。すべての警告は Firefox Settings で管理できます。心配ない! 詳細については、こちらをご覧ください。
      - Firefox は、Windows 11 で実行されているときに、新しいスナップ レイアウト メニューをサポートします。
      - RLBoxサードパーティライブラリの潜在的なセキュリティ脆弱性に対して Firefox を強化する新しいテクノロジーが、すべてのプラットフォームで有効になりました。
      - イベント処理中の Firefox と WindowServer の macOS の CPU 使用率を削減しました。
      - また、macOS でのソフトウェアでデコードされたビデオ、特にフルスクリーンでのビデオの電力使用量も削減されました。これには、NetflixやAmazonプライムビデオなどのストリーミングサイトが含まれます。
      - ピクチャーインピクチャートグルボタンをビデオの反対側に移動できるようになりました。新しいコンテキスト メニュー オプション「ピクチャー イン ピクチャー トグルを左側 (右) に移動」を探すだけです。
      - ノイズ抑制と自動ゲイン制御を大幅に改善し、エコーキャンセリングをわずかに改善して、全体的なエクスペリエンスを向上させました。
      - メインスレッドの負荷も大幅に低減しました。
      - 印刷時に奇数/偶数ページのみ印刷できるようになりました。
      - Firefox は、Windows 11 で新しいスタイルのスクロールバーをサポートし、表示するようになりました。
      - Firefox には、新しく最適化されたダウンロードフローがあります。毎回プロンプトを表示する代わりに、ファイルは自動的にダウンロードされます。
        ただし、ワンクリックでダウンロードパネルから開くことはできます。簡単! 詳細情報
      - Firefox は、デフォルトで各ファイルに対して何をすべきかを尋ねることがなくなりました。
        その種類のファイルのダウンロード アクション設定を変更しない限り、ファイルをダウンロードする前に、ヘルパー アプリケーションの選択またはディスクへの保存の指示は表示されません。
     - ダウンロードしたファイルはすぐにディスクに保存されます。現在の構成に応じて、ダウンロードはご希望のダウンロードフォルダに保存されるか、ダウンロードごとに場所を選択するよう求められます。Windows および Linux ユーザーは、ダウンロードしたファイルを宛先フォルダーで見つけることができます。Temp フォルダーに配置されなくなります。
      - Firefox では、ユーザーは多数の内蔵検索エンジンから選択してデフォルトとして設定できます。このリリースでは、以前にデフォルトのエンジンを設定していた一部のユーザーが、Mozilla が Firefox に特定の検索エンジンを含め続けるための正式な許可を確保できなかったため、デフォルトの検索エンジンが変更されたことに気付くかもしれません。
      - キーボードショートカット「n」で ReaderMode のナレーションを切り替えることができるようになりました。
      - PDF ビューアーで、発音区別符号の有無にかかわらず検索のサポートが追加されました。
      - Linux サンドボックスが強化され、Web コンテンツに露出されたプロセスは、もはや X Window システムにアクセスできなくなりました(X11)。
      - Firefox は、ドイツ、フランス、英国でクレジットカードの自動入力とキャプチャをサポートするようになりました。
      - ピクチャーインピクチャーで視聴するYouTube、Prime Video、Netflixビデオでのキャプション/字幕の表示をサポートするようになりました。
        ページ内のビデオプレーヤーで字幕をオンにするだけで、PiPに表示されます。
      - ピクチャーインピクチャーは、Web Video Text Track(WebVTT)形式を使用するWebサイト(Coursera.org、Canadian Broadcasting Corporationなど)のビデオキャプションもサポートするようになりました。
      - インストール後の最初の実行時に、Firefox は言語がオペレーティングシステムの言語と一致しないことを検出し、ユーザーに 2 つの言語の選択肢を提供します。
      - Firefox のスペルチェックは、複数の言語のスペルをチェックするようになりました。追加の言語を有効にするには、テキストフィールドのコンテキストメニューでそれらの言語を選択します。
      - HDR動画がMacのFirefoxでサポートされるようになりましたYouTubeから! macOS 11+ (HDR 互換画面) の Firefox ユーザーは、より忠実なビデオ コンテンツを楽しむことができます。HDRビデオサポートをオンにするために設定を手動で切り替える必要はありませんバッテリー設定が、バッテリー使用中にビデオストリーミングを最適化するように設定されていないことを確認してください。
      - ハードウェア アクセラレーションによる AV1 ビデオ デコードは、サポートされている GPU (Intel Gen 11+、Navi 24 を除く AMD RDNA 2、GeForce 30) を備えた Windows で有効になっています。Microsoft Store から AV1 ビデオ拡張機能をインストールする必要がある場合もあります。
      - Windows for Intel GPU ではビデオ オーバーレイが有効になり、ビデオ再生時の電力使用量が削減されます。
      - 他のイベントのペインティングと処理の間の公平性を改善しました。これにより、Twitch のボリューム スライダーのパフォーマンスが大幅に向上します。
      - Linux および Windows 11 のスクロールバーは、デフォルトでスペースを占有しません。Linux では、ユーザーは Settings でこれを変更できます。Windowsでは、Firefoxはシステム設定(システムSettings>アクセシビリティ>視覚効果>常にスクロールバーを表示します)に従います。
      - Firefox は現在、リファラーからのプライバシー漏洩を防ぐために、unsafe-url、no-referrer-when-downgrade、origin-when-cross-origin リクエストの制限が少ないリファラーポリシーを無視します。
      - prefers-contrast メディアクエリによる読み取りが簡単になりました。これにより、サイトは、ユーザーが Web コンテンツのコントラストをより高い(またはより低い)コントラストで表示するようにリクエストしたかどうかを検出できます。
      - すべての構成されていない MIME タイプに、ダウンロードの完了時にカスタムアクションを割り当てることができるようになりました。
      - Firefox では、ユーザーはビデオ会議中に必要な数のマイクを同時に使用できるようになりました。最もエキサイティングな利点は、いつでも簡単にマイクを切り替えることができることです (会議サービス プロバイダーがこの柔軟性を有効にしている場合)。
      - 印刷プレビューが更新されました。

      * 修正済み: さまざまなセキュリティ修正。

    - MFSA 2022-24 (bsc#1200793)

      * CVE-2022-34479 (bmo#1745595)ポップアップウィンドウのサイズを変更して、アドレスバーに Web コンテンツをオーバーレイさせることができます
      * CVE-2022-34470 (bmo#1765951)nsSHistory での use-after-free
      * CVE-2022-34468 (bmo#1768537)「allow-scripts」のない CSP サンドボックスヘッダーが、リターゲットされた javascript: URI を介してバイパスされる可能性があります
      * CVE-2022-34482 (bmo#845880)悪意のあるイメージのドラッグアンドドロップにより、悪意のある実行可能ファイルや潜在的なコードの実行を引き起こす可能性があります
      * CVE-2022-34483 (bmo#1335845)悪意のあるイメージのドラッグアンドドロップにより、悪意のある実行可能ファイルや潜在的なコードの実行を引き起こす可能性があります
      * CVE-2022-34476 (bmo#1387919)ASN.1 パーサーが騙されて、無効な形式の ASN.1 を受け入れる可能性があります
      * CVE-2022-34481 (bmo#1483699、 bmo#1497246)ReplaceElementsAt での整数オーバーフローの可能性
      * CVE-2022-34474 (bmo#1677138)サンドボックス化された iframe が外部スキームにリダイレクトされる可能性があります。
      * CVE-2022-34469 (bmo#1721220)HSTS 保護ドメインのTLS証明書エラーが、Android 用 Firefox のユーザーによってバイパスされる可能性があります
      * CVE-2022-34471 (bmo#1766047)セキュリティ上、危険にさらされたサーバーが、ブラウザを騙してアドオンをダウングレードさせる可能性があります
      * CVE-2022-34472 (bmo#1770123)PAC ファイルが利用できないため、OCSP リクエストがブロックされていました
      * ユーザーがプロンプトを受け入れた場合、 CVE-2022-34478 (bmo#1773717)Microsoftプロトコルが攻撃される可能性があります
      * CVE-2022-2200 (bmo#1771381)プロトタイプ汚染の一部として、望ましくない属性が設定される可能性があります
      * CVE-2022-34480 (bmo#1454072)lg_initの初期化されていないポインターの解放
      * CVE-2022-34477 (bmo#1731614)MediaError メッセージプロパティが、クロスオリジン同一サイトページに情報を漏洩しました
      * CVE-2022-34475 (bmo#1757210)HTML サニタイザーが use タグを介して、同一生成元スクリプトを介してバイパスされる可能性があります
      * CVE-2022-34473 (bmo#1770888)HTML サニタイザーが use タグによりバイパスされる可能性があります
      * CVE-2022-34484 (bmo#1763634、 bmo#1772651)Firefox 102 および Firefox ESR で修正されたメモリ安全性のバグ 91.11
      * CVE-2022-34485 (bmo#1768409、 bmo#1768578)Firefox 102 で修正されたメモリ安全性のバグ

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2022:3396-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Mozilla Firefox が 102.3.0esr ESR に更新されました(bsc#1200793、 bsc#1201758、 bsc#1202645、 bsc#1203477):

    - CVE-2022-40959:一時的なページでの FeaturePolicy 制限のバイパスを修正しました。
    - CVE-2022-40960:スレッド内の非 UTF-8 URL を解析する際のデータ競合を修正しました。
    - CVE-2022-40958:__Host および __Secure プレフィックスを持つクッキーに対するセキュアコンテキスト制限のバイパスを修正しました。
    - CVE-2022-40956:content-security-policy base-uri のバイパスを修正しました。
    - CVE-2022-40957: ARM64 で WASM を構築するときの矛盾した命令キャッシュを修正しました。
    - CVE-2022-40962:メモリの安全性に関するバグを修正しました。
    - CVE-2022-38472:XSLT エラー処理を通じた潜在的なアドレスバースプーフィングを修正しました。
    - CVE-2022-38473:クロスオリジン XSLT ドキュメントが親の権限を継承する可能性のある問題を修正しました。
    - CVE-2022-38478:さまざまなメモリの安全性に関する問題を修正しました。
    - CVE-2022-38476:PK11_ChangePW でのデータ競合と潜在的な use-after-free を修正しました。
    - CVE-2022-38477:メモリの安全性に関するバグを修正しました。
    - CVE-2022-36319:CSS 変換によるマウス位置のなりすましを修正しました。
    - CVE-2022-36318:バンドルされたリソースのディレクトリインデックスが URL パラメーターを反映しました。
    - CVE-2022-36314:ローカル.lnkファイルを開く際の予期しないネットワークロードを修正しました。
    - CVE-2022-2505:メモリの安全性に関するバグを修正しました。
    - CVE-2022-34479:ポップアップウィンドウのサイズを変更して、Web コンテンツでアドレスバーを覆う方法で発生する可能性のある脆弱性を修正しました。
    - CVE-2022-34470:nsSHistory の use-after-free を修正しました。
    - CVE-2022-34468:リターゲットされた javascript を介した、「allow-scripts」のない CSP サンドボックスヘッダーのバイパスを修正しました:
    URI を作成した後に、location.host プロパティを任意の文字列に設定できることを発見しました。
    - CVE-2022-34482:悪意のある実行可能ファイルやコードの実行を引き起こす可能性のある、悪意のあるイメージのドラッグアンドドロップを修正しました。
    - CVE-2022-34483:悪意のある実行可能ファイルやコードの実行を引き起こす可能性のある、悪意のあるイメージのドラッグアンドドロップを修正しました。
    - CVE-2022-34476:ASN.1 パーサーが騙されて、無効な形式の ASN.1 を受け入れる可能性がある脆弱性を修正しました。
    - CVE-2022-34481:ReplaceElementsAt の整数オーバーフローの可能性を修正しました
    - CVE-2022-34474:サンドボックス化された iframe が外部スキームにリダイレクトされる可能性がある脆弱性を修正しました。
    - CVE-2022-34469:HSTS 保護ドメインでのTLS証明書エラーを修正しました。このエラーは、Android 用 Firefox のユーザーによってバイパスされる可能性があります。
    - CVE-2022-34471:セキュリティ上、危険にさらされたサーバーがブラウザを騙してアドオンダウングレードを実行させる可能性がある脆弱性を修正しました。
    - CVE-2022-34472:PAC ファイルが利用できないために OCSP リクエストがブロックされる脆弱性を修正しました。
    - CVE-2022-34478:ユーザーがプロンプトを受け入れた場合にMicrosoftプロトコルが攻撃される可能性がある脆弱性を修正しました。
    - CVE-2022-2200:プロトタイプ汚染の一部として望ましくない属性が設定される可能性がある脆弱性を修正しました。
    - CVE-2022-34480:lg_init の初期化されていないポインターの解放を修正しました。
    - CVE-2022-34477:MediaError メッセージプロパティがクロスオリジン同一サイトページで情報を漏洩する脆弱性を修正しました。
    - CVE-2022-34475:HTML サニタイザーが同一生成元スクリプトを介して use タグを介してバイパスされる可能性がある脆弱性を修正しました。
    - CVE-2022-34473:HTML サニタイザーが use タグによりバイパスされる可能性がある脆弱性を修正しました。
    - CVE-2022-34484:メモリの安全性に関するバグを修正しました。
    - CVE-2022-34485:メモリの安全性に関するバグを修正しました。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Windows ホストにインストールされている Firefox のバージョンは、102.0より前のものです。したがって、mfsa2022-24 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Mozilla の開発者である Bryce Seager van Dyk と Mozilla Fuzzing Team は、Firefox 101 に存在する潜在的な脆弱性を報告しました。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、十分な労力をもってすればこれらの一部を悪用し、任意のコードを実行することが可能であると推測しています。(CVE-2022-34485)

  - ポップアップを作成できる悪意のある Web サイトが、ポップアップのサイズを変更し、独自のコンテンツでアドレスバーをオーバーレイし、ユーザーの混乱やなりすまし攻撃を引き起こす可能性があります。このバグの影響を受けるのは、Linux 向けの Firefox のみです。その他のオペレーティングシステムは影響を受けません。(CVE-2022-34479)

  - セッション履歴ナビゲーションにより、メモリ解放後使用 (Use After Free) および悪用可能なクラッシュが引き起こされる可能性があります。
    (CVE-2022-34470)

  - スクリプトの実行が許可されていない iframe でも、ユーザーが <code>javascript:</code> リンクをクリックすれば実行可能になります。(CVE-2022-34468)

  - 攻撃者は、ユーザーに画像をファイルシステムにドラッグアンドドロップさせ、結果として得られるファイル名を操作して実行可能な拡張子を含め、ひいてはユーザーに悪意のあるコードを実行させる可能性があります。非常に似ていますが、これは CVE-2022-34483とは別の問題です。(CVE-2022-34482)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの macOS または Mac OS X ホストにインストールされている Firefox のバージョンは、102.0より前のものです。したがって、mfsa2022-24 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Mozilla の開発者である Bryce Seager van Dyk と Mozilla Fuzzing Team は、Firefox 101 に存在する潜在的な脆弱性を報告しました。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、十分な労力をもってすればこれらの一部を悪用し、任意のコードを実行することが可能であると推測しています。(CVE-2022-34485)

  - ポップアップを作成できる悪意のある Web サイトが、ポップアップのサイズを変更し、独自のコンテンツでアドレスバーをオーバーレイし、ユーザーの混乱やなりすまし攻撃を引き起こす可能性があります。このバグの影響を受けるのは、Linux 向けの Firefox のみです。その他のオペレーティングシステムは影響を受けません。(CVE-2022-34479)

  - セッション履歴ナビゲーションにより、メモリ解放後使用 (Use After Free) および悪用可能なクラッシュが引き起こされる可能性があります。
    (CVE-2022-34470)

  - スクリプトの実行が許可されていない iframe でも、ユーザーが <code>javascript:</code> リンクをクリックすれば実行可能になります。(CVE-2022-34468)

  - 攻撃者は、ユーザーに画像をファイルシステムにドラッグアンドドロップさせ、結果として得られるファイル名を操作して実行可能な拡張子を含め、ひいてはユーザーに悪意のあるコードを実行させる可能性があります。非常に似ていますが、これは CVE-2022-34483とは別の問題です。(CVE-2022-34482)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Ubuntu 18.04LTS / 20.04LTS / 21.10ホストには、USN-5504-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Mozilla の開発者である Bryce Seager van Dyk と Mozilla Fuzzing Team は、Firefox 101 に存在する潜在的な脆弱性を報告しました。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、手間をかけることにより、これらの一部が悪用され、任意のコードが実行される可能性があると推測しています。この脆弱性の影響を受けるのは、Firefox < 102 です。(CVE-2022-34485)

  - オブジェクトのプロトタイプが攻撃者によって破壊された場合、JavaScript オブジェクトに望ましくない属性を設定でき、権限のあるコード実行につながる可能性がありました。この脆弱性は、Firefox < 102、Firefox ESR < 91.11、Firefox ESR < 102、Thunderbird < 91.11 に影響します。(CVE-2022-2200)

  - スクリプトの実行が許可されていない iframe でも、ユーザーが <code>javascript:</code> のリンクをクリックすると、スクリプトを実行することができました。この脆弱性は、Firefox < 102、Firefox ESR < 91.11、Firefox ESR < 102、Thunderbird < 91.11 に影響します。(CVE-2022-34468)

  - セッション履歴ナビゲーションにより、メモリ解放後使用 (Use After Free) および悪用可能なクラッシュが引き起こされる可能性があります。この脆弱性は、Firefox < 102、Firefox ESR < 91.11、Firefox ESR < 102、Thunderbird < 91.11 に影響します。
    (CVE-2022-34470)

  - アドオンの更新をダウンロードする際、ダウンロードされたアドオン更新のバージョンが、マニフェストから選択されたバージョンと一致することが検証されていませんでした。サーバー上でマニフェストが改ざんされた場合、攻撃者がブラウザを騙して、アドオンを以前のバージョンにダウングレードさせる可能性があります。この脆弱性の影響を受けるのは、Firefox < 102 です。(CVE-2022-34471)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
165192	SUSE SLES15:MozillaFirefox / MozillaFirefox-branding-SLE / MozillaFirefox-devel / など(SUSE-SU-2022:3272-1)	Nessus	SuSE Local Security Checks	2022/9/15	2026/6/25	critical
165198	SUSE SLES12:MozillaFirefox / MozillaFirefox-branding-SLE / MozillaFirefox-devel / など(SUSE-SU-2022:3273-1)	Nessus	SuSE Local Security Checks	2022/9/15	2026/6/25	critical
165487	SUSE SLED15:MozillaFirefox/MozillaFirefox-branding-SLE/etc(SUSE-SU-2022:3396-1)	Nessus	SuSE Local Security Checks	2022/9/27	2026/6/25	critical
162602	Mozilla Firefox < 102.0	Nessus	Windows	2022/6/29	2026/6/23	critical
162603	Mozilla Firefox < 102.0	Nessus	MacOS X Local Security Checks	2022/6/29	2025/11/18	critical
162735	Ubuntu 18.04LTS / 20.04LTS : Firefox の脆弱性 (USN-5504-1)	Nessus	Ubuntu Local Security Checks	2022/7/5	2024/8/27	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical