An update of the mozjs package has been released.

The version of Firefox installed on the remote macOS or Mac OS X host is prior to 106.0. It is, therefore, affected by multiple vulnerabilities as referenced in the mfsa2022-44 advisory.

  - A same-origin policy violation could have allowed the theft of cross-origin URL entries, leaking the     result of a redirect, via <code>performance.getEntries()</code>. (CVE-2022-42927)

  - Certain types of allocations were missing annotations that, if the Garbage Collector was in a specific     state, could have lead to memory corruption and a potentially exploitable crash. (CVE-2022-42928)

  - If a website called <code>window.print()</code> in a particular way, it could cause a denial of service of     the browser, which may persist beyond browser restart depending on the user's session restore settings.
    (CVE-2022-42929)

  - If two Workers were simultaneously initializing their CacheStorage, a data race could have occurred in the     <code>ThirdPartyUtil</code> component. (CVE-2022-42930)

  - Logins saved by Firefox should be managed by the Password Manager component which uses encryption to save     files on-disk. Instead, the username (not password) was saved by the Form Manager to an unencrypted file     on disk. (CVE-2022-42931)

  - Mozilla developers Ashley Hale and the Mozilla Fuzzing Team reported memory safety bugs present in Firefox     105 and Firefox ESR 102.3. Some of these bugs showed evidence of memory corruption and we presume that     with enough effort some of these could have been exploited to run arbitrary code. (CVE-2022-42932)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The version of Firefox installed on the remote Windows host is prior to 106.0. It is, therefore, affected by multiple vulnerabilities as referenced in the mfsa2022-44 advisory.

  - A same-origin policy violation could have allowed the theft of cross-origin URL entries, leaking the     result of a redirect, via <code>performance.getEntries()</code>. (CVE-2022-42927)

  - Certain types of allocations were missing annotations that, if the Garbage Collector was in a specific     state, could have lead to memory corruption and a potentially exploitable crash. (CVE-2022-42928)

  - If a website called <code>window.print()</code> in a particular way, it could cause a denial of service of     the browser, which may persist beyond browser restart depending on the user's session restore settings.
    (CVE-2022-42929)

  - If two Workers were simultaneously initializing their CacheStorage, a data race could have occurred in the     <code>ThirdPartyUtil</code> component. (CVE-2022-42930)

  - Logins saved by Firefox should be managed by the Password Manager component which uses encryption to save     files on-disk. Instead, the username (not password) was saved by the Form Manager to an unencrypted file     on disk. (CVE-2022-42931)

  - Mozilla developers Ashley Hale and the Mozilla Fuzzing Team reported memory safety bugs present in Firefox     105 and Firefox ESR 102.3. Some of these bugs showed evidence of memory corruption and we presume that     with enough effort some of these could have been exploited to run arbitrary code. (CVE-2022-42932)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの Windows ホストにインストールされている Firefox のバージョンは、106.0 より前のものです。したがって、mfsa2022-44 アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 同一生成元ポリシー違反により、クロス生成元 URL エントリの盗難が可能になり、<code>Performance.getEntries()</code> を介してリダイレクトの結果が漏洩する可能性があります。(CVE-2022-42927)

  - 特定のタイプの割り当てに注釈がありませんでした。Garbage Collector が特定の状態にある場合に、これはメモリ破損および悪用可能なクラッシュにつながる可能性がありました。(CVE-2022-42928)

  - Web サイトが特定の方法で <code>window.print()</code> を呼び出した場合、ブラウザのサービス拒否を引き起こす可能性があります。これは、ユーザーのセッション復元設定によっては、ブラウザの再起動後にも持続する可能性があります。
    (CVE-2022-42929)

  - 2 つの Workers が同時に CacheStorage を初期化している場合、<code>ThirdPartyUtil</code> コンポーネントでデータ競合が発生した可能性があります。(CVE-2022-42930)

  - Firefox で保存されたログインは、暗号化を使用してファイルをディスクに保存する Password Manager コンポーネントで管理する必要があります。代わりに、ユーザー名 (パスワードではない) が Form Manager によってディスク上の暗号化されていないファイルに保存されていました。(CVE-2022-42931)

  - Mozilla 開発者の Ashley Hale 氏および Mozilla Fuzzing Team は、Firefox 105 と Firefox ESR 102.3に存在するメモリ安全性のバグを報告しました。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、十分な労力をもってすればこれらの一部を悪用し、任意のコードを実行することが可能であると推測しています。(CVE-2022-42932)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

遠端 macOS 或 Mac OS X 主機上安裝的 Firefox 版本比 106.0 版舊。因此，它受到 mfsa2022-44 公告中提及的多個弱點影響。

  - 違反同源原則使攻擊者能夠透過 <code>performance.getEntries()</code> 竊取跨來源 URL 項目，進而洩漏重新導向的結果。(CVE-2022-42927)

  - 特定類型的配置缺少註解，如果 Garbage Collector 處於特定狀態，此問題可導致記憶體損毀，並可能造成系統當機。(CVE-2022-42928)

  - 如果網站以特定方式呼叫 <code>window.print()</code>，則可造成瀏覽器拒絕服務，根據使用者的工作階段還原設定，此情況可能會在瀏覽器重新啟動後持續存在。
    (CVE-2022-42929)

  - 如果有兩個工作者同時初始化其 CacheStorage，則 <code>ThirdPartyUtil</code> 元件中可能會發生資料爭用。(CVE-2022-42930)

  - Firefox 儲存的登入資訊應由 Password Manager 元件管理，該元件使用加密方式將檔案儲存在磁碟上。使用者名稱 (非密碼) 則由 Form Manager 儲存至磁碟上未加密的檔案。(CVE-2022-42931)

  - Mozilla 開發人員 Ashley Hale 和 Mozilla Fuzzing 團隊報告 Firefox 105 和 Firefox ESR 102.3 中存在記憶體安全錯誤。其中某些錯誤顯示記憶體遭到損毀，我們推測若有心人士有意操控，可能利用其中部分錯誤執行任意程式碼。(CVE-2022-42932)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

远程 macOS 或 Mac OS X 主机上安装的 Mozilla Firefox 版本低于 106.0。因此，该应用程序受到 mfsa2022-44 公告中提及的多个漏洞的影响。

  - 违反同源策略可允许窃取跨源 URL 条目，从而通过 <code>performance.getEntries()</code> 泄露重定向的结果。 (CVE-2022-42927)

  - 某些类型的分配缺少注释，如果垃圾回收器处于特定状态，则可导致内存损坏和潜在可利用的崩溃。 (CVE-2022-42928)

  - 如果网站以特定方式调用 <code>window.print()</code> ，可能会造成浏览器拒绝服务，根据用户的会话还原设置，这种情况可能会在浏览器重新启动后持续存在。
    (CVE-2022-42929)

  - 如果两个工作线程同时初始化其 CacheStorage，则 <code>ThirdPartyUtil</code> 组件中可能发生数据争用。 (CVE-2022-42930)

  - Firefox 保存的登录信息应由 Password Manager 组件管理，该组件通过加密将文件保存在磁盘上。相反，Form Manager 将用户名（非密码）保存到磁盘上的未加密文件中。 (CVE-2022-42931)

  - Mozilla 开发人员 Ashley Hale 及 Mozilla Fuzzing 团队报告 Firefox 105 与 Firefox ESR 102.3 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测若攻击者付出足够努力，就能利用部分错误运行任意代码。(CVE-2022-42932)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Windows 主機上安裝的 Firefox 版本是 106.0 之前版本。因此，它受到 mfsa2022-44 公告中提及的多個弱點影響。

  - 違反同源原則使攻擊者能夠透過 <code>performance.getEntries()</code> 竊取跨來源 URL 項目，進而洩漏重新導向的結果。(CVE-2022-42927)

  - 特定類型的配置缺少註解，如果 Garbage Collector 處於特定狀態，此問題可導致記憶體損毀，並可能造成系統當機。(CVE-2022-42928)

  - 如果網站以特定方式呼叫 <code>window.print()</code>，則可造成瀏覽器拒絕服務，根據使用者的工作階段還原設定，此情況可能會在瀏覽器重新啟動後持續存在。
    (CVE-2022-42929)

  - 如果有兩個工作者同時初始化其 CacheStorage，則 <code>ThirdPartyUtil</code> 元件中可能會發生資料爭用。(CVE-2022-42930)

  - Firefox 儲存的登入資訊應由 Password Manager 元件管理，該元件使用加密方式將檔案儲存在磁碟上。使用者名稱 (非密碼) 則由 Form Manager 儲存至磁碟上未加密的檔案。(CVE-2022-42931)

  - Mozilla 開發人員 Ashley Hale 和 Mozilla Fuzzing 團隊報告 Firefox 105 和 Firefox ESR 102.3 中存在記憶體安全錯誤。其中某些錯誤顯示記憶體遭到損毀，我們推測若有心人士有意操控，可能利用其中部分錯誤執行任意程式碼。(CVE-2022-42932)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

リモートの macOS または Mac OS X ホストにインストールされている Firefox のバージョンは、106.0 より前のものです。したがって、mfsa2022-44 アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 同一生成元ポリシー違反により、クロス生成元 URL エントリの盗難が可能になり、<code>Performance.getEntries()</code> を介してリダイレクトの結果が漏洩する可能性があります。(CVE-2022-42927)

  - 特定のタイプの割り当てに注釈がありませんでした。Garbage Collector が特定の状態にある場合に、これはメモリ破損および悪用可能なクラッシュにつながる可能性がありました。(CVE-2022-42928)

  - Web サイトが特定の方法で <code>window.print()</code> を呼び出した場合、ブラウザのサービス拒否を引き起こす可能性があります。これは、ユーザーのセッション復元設定によっては、ブラウザの再起動後にも持続する可能性があります。
    (CVE-2022-42929)

  - 2 つの Workers が同時に CacheStorage を初期化している場合、<code>ThirdPartyUtil</code> コンポーネントでデータ競合が発生した可能性があります。(CVE-2022-42930)

  - Firefox で保存されたログインは、暗号化を使用してファイルをディスクに保存する Password Manager コンポーネントで管理する必要があります。代わりに、ユーザー名 (パスワードではない) が Form Manager によってディスク上の暗号化されていないファイルに保存されていました。(CVE-2022-42931)

  - Mozilla 開発者の Ashley Hale 氏および Mozilla Fuzzing Team は、Firefox 105 と Firefox ESR 102.3に存在するメモリ安全性のバグを報告しました。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、十分な労力をもってすればこれらの一部を悪用し、任意のコードを実行することが可能であると推測しています。(CVE-2022-42932)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

远程 Windows 主机上安装的 Firefox 版本低于 106.0。因此，该应用程序受到 mfsa2022-44 公告中提及的多个漏洞的影响。

  - 违反同源策略可允许窃取跨源 URL 条目，从而通过 <code>performance.getEntries()</code> 泄露重定向的结果。 (CVE-2022-42927)

  - 某些类型的分配缺少注释，如果垃圾回收器处于特定状态，则可导致内存损坏和潜在可利用的崩溃。 (CVE-2022-42928)

  - 如果网站以特定方式调用 <code>window.print()</code> ，可能会造成浏览器拒绝服务，根据用户的会话还原设置，这种情况可能会在浏览器重新启动后持续存在。
    (CVE-2022-42929)

  - 如果两个工作线程同时初始化其 CacheStorage，则 <code>ThirdPartyUtil</code> 组件中可能发生数据争用。 (CVE-2022-42930)

  - Firefox 保存的登录信息应由 Password Manager 组件管理，该组件通过加密将文件保存在磁盘上。相反，Form Manager 将用户名（非密码）保存到磁盘上的未加密文件中。 (CVE-2022-42931)

  - Mozilla 开发人员 Ashley Hale 及 Mozilla Fuzzing 团队报告 Firefox 105 与 Firefox ESR 102.3 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测若攻击者付出足够努力，就能利用部分错误运行任意代码。(CVE-2022-42932)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
204437	Photon OS 5.0: Mozjs PHSA-2023-5.0-0035	Nessus	PhotonOS Local Security Checks	2024/7/24	2024/7/24	critical
166208	Mozilla Firefox < 106.0	Nessus	MacOS X Local Security Checks	2022/10/18	2023/10/25	high
166209	Mozilla Firefox < 106.0	Nessus	Windows	2022/10/18	2023/10/25	high
166209	Mozilla Firefox < 106.0	Nessus	Windows	2022/10/18	2023/10/25	high
166208	Mozilla Firefox < 106.0	Nessus	MacOS X Local Security Checks	2022/10/18	2023/10/25	high
166208	Mozilla Firefox < 106.0	Nessus	MacOS X Local Security Checks	2022/10/18	2023/10/25	high
166209	Mozilla Firefox < 106.0	Nessus	Windows	2022/10/18	2023/10/25	high
166208	Mozilla Firefox < 106.0	Nessus	MacOS X Local Security Checks	2022/10/18	2023/10/25	high
166209	Mozilla Firefox < 106.0	Nessus	Windows	2022/10/18	2023/10/25	high

検出

プラグインの検索

critical

high

high

high

high

high

high

high

high