Firefoxの更新プログラムが、Red Hat Enterprise Linux 6とRed Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を深刻として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Mozilla Firefoxは、標準コンプライアンス、パフォーマンス、移植性を特徴とするオープンソースのWebブラウザーです。この更新プログラムで、Firefoxがバージョン52.7.2 ESRにアップグレードされます。セキュリティ修正プログラム：* Mozilla：Vorbis音声処理の領域外書き込み（MFSA 2018-08）（CVE-2018-5146）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

リモートの macOS または Mac OS X ホストにインストールされている Firefox ESR のバージョンは、52.7.2 より前のものです。したがって、mfsa2018-08のアドバイザリに記載されているとおり、複数の脆弱性の影響を受けます。

  - libtremor ライブラリには、 CVE-2018-5146と同じ欠陥があります。このライブラリは、AndroidおよびARMプラットフォームのlibvorbisの代わりにFirefoxによって使用されます。更新 52.7.2 ソースリリースには、このパッチが意図せずに含まれていませんでしたMozilla が生成した 52.7.2 バイナリは問題ありません。ARM で52.7.2を構築している場合は、 <x <a id="x2"/></a>: //hg.mozilla.org/releases/mozilla-esr52/rev/5cd5586a2f48424a9031a3fa4c782954a9df9a52>revision5cd5586a2f48424a9031a3fa4c782954a9df9a524a9031a3fa4c782954a9df9a524a9031a9031a9031a9031a9031a9df9a524a9df9a524a9031a9031a9031a9031a9031a9df9a524a9df9a524 CVE-2018-5147href=https

  - Vorbis オーディオデータ処理中の領域外メモリ書き込みが Pwn2Own コンテストを通じて報告されました。
    (CVE-2018-5146)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

このlibvorbisの更新では、次の問題が修正されます：

  - CVE-2018-5146：Vorbisオーディオデータ処理中の領域外メモリ書き込みを修正しました（bsc#1085687）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

出典: Red Hatセキュリティアドバイザリ2018:0649:libvorbisの更新がRed Hat Enterprise Linux 6用に入手可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。libvorbisパッケージには、Ogg Vorbisをサポートするプログラムで使用するためのランタイムライブラリが含まれます。これは、固定および可変ビットレートのオーディオおよび音楽用の完全オープンで非独占的な、特許およびロイヤリティフリーの汎用圧縮形式です。セキュリティ修正プログラム：*Mozilla：Vorbis音声処理の領域外書き込み（MFSA 2018-08）（CVE-2018-5146）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。Red Hatは、この問題を報告してくれたMozillaプロジェクトに感謝の意を表します。アップストリームは、トレンドマイクロ社のZero Day InitiativeのRichard Zhu氏を最初の報告者として認識しています。

thunderbirdの更新プログラムが、Red Hat Enterprise Linux 6で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Mozilla Thunderbirdはスタンドアロンのメールおよびニュースグループクライアントです。この更新プログラムで、Thunderbirdがバージョン52.7.0にアップグレードされます。セキュリティ修正プログラム：*Mozilla：Firefox 59およびFirefox ESR 52.7で修正されたメモリ安全性に関するバグ（MFSA 2018-07）（CVE-2018-5125）*Mozilla：Firefox ESR 52.7で修正されたメモリ安全性に関するバグ（MFSA 2018-07）（CVE-2018-5145）*Mozilla：Vorbis音声処理の領域外書き込み（MFSA 2018-08）（CVE-2018-5146）*Mozilla：SVGアニメーションPathSegList（MFSA 2018-07）を操作するバッファオーバーフロー（CVE-2018-5127）*Mozilla：不正な形式のIPCメッセージによる領域外書き込み（MFSA 2018-07）（CVE-2018-5129）*Mozilla：Unicode変換時の整数オーバーフロー（MFSA 2018-07）（CVE-2018-5144）影響、CVSSスコア、およびその他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。Red Hatは、これらの問題を報告してくれたMozillaプロジェクトに感謝の意を表します。アップストリームは、Bob Clary氏、Olli Pettay氏、Christian Holler氏、Nils Ohlmeier氏、Randell Jesup氏、Tyson Smith氏、Ralph Giles氏、Philipp氏、Jet Villegas氏、Richard Zhu氏（Trend MicroのZero Day Initiativeを通じて）、Nils氏、James Grant氏、Root Object氏を最初の報告者として認めています。

このMozillaFirefoxの更新では、次の問題が修正されます：Firefox ESR 52.7.3で修正されたセキュリティ問題（bsc#1085130）：

  - CVE-2018-5125：Firefox 59とFirefox ESR 52.7で修正されたメモリ安全性に関するバグ

  - CVE-2018-5127：SVG animatedPathSegList操作におけるバッファオーバーフロー

  - CVE-2018-5129：不正な形式のIPCメッセージによる境界外書き込み

  - CVE-2018-5130：Mismatched RTPペイロードタイプによりメモリ破損がトリガーされる可能性がある

  - CVE-2018-5131：Fetch APIがストア/キャッシュなしのリソースのキャッシュされたコピーを正しく返さない

  - CVE-2018-5144：Unicode変換時の整数オーバーフロー

  - CVE-2018-5145：Firefox ESR 52.7で修正されたメモリ安全性のバグ

  - CVE-2018-5146：libvorbisでの領域外メモリ書き込み（bsc#1085671）

  - CVE-2018-5147：libtremorでの領域外メモリ書き込み（bsc#1085671）

  - CVE-2018-5148：コンポジターでのメモリ開放後使用（MFSA 2018-10）（bsc#1087059）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

OGGコンテナでオーディオのエンコードおよびデコードに一般的に使用されるlibvorbisライブラリに、重大な脆弱性が見つかりました。

2017-14633

Xiph.Org libvorbis 1.3.5では、mapping0.cのmapping0_forward()関数に領域外の配列読み取りの脆弱性があり、vorbis_analysis()で細工されたオーディオファイルを操作するときにDoSを引き起こす可能性があります。

2017-14632

Xiph.Org libvorbis 1.3.5により、vi->channels<=0の場合に、info.cのvorbis_analysis_headerout()関数で初期化されていないメモリの解放時にリモートコードの実行が可能になります。これは、Mozillaバグ550184と同様の問題です。

2017-11333

Xiph.Org libvorbis 1.3.5のlib/block.cのvorbis_analysis_wrote関数により、リモートの攻撃者が、細工されたwavファイルを介してサービス拒否（OOM）を引き起こす可能性があります。

2018-5146

Libtremorマルチメディアライブラリのコードブック解析コードでの領域外メモリ書き込みにより、任意のコードの実行が発生する可能性があります。

Debian 7「Wheezy」では、これらの問題はバージョン1.3.2-1.3+deb7u1で修正されました。

libvorbisパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートのMiracleLinux 4ホストには、AXSA:2018-2651:01アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    * MozillaVorbis 音声処理の領域外書き込みMFSA 2018-08CVE-2018-5146]

Tenableは、前述の記述ブロックをMiracleLinuxセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのMiracleLinux 4ホストには、AXSA:2018-2628:03アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    * MozillaVorbis 音声処理の領域外書き込みMFSA 2018-08CVE-2018-5146]

Tenableは、前述の記述ブロックをMiracleLinuxセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
108448	RHEL 6/7：Firefox（RHSA-2018:0549）	Nessus	Red Hat Local Security Checks	2018/3/19	2025/1/29	high
108584	Mozilla Firefox ESR < 52.7.2	Nessus	MacOS X Local Security Checks	2018/3/23	2025/11/18	critical
108646	SUSE SLES11セキュリティ更新プログラム：libvorbis（SUSE-SU-2018:0783-1）	Nessus	SuSE Local Security Checks	2018/3/27	2024/12/4	high
108863	Oracle Linux 6：libvorbis（ELSA-2018-0649）	Nessus	Oracle Linux Local Security Checks	2018/4/6	2024/11/19	high
108898	CentOS 6：Thunderbird（CESA-2018:0647）	Nessus	CentOS Local Security Checks	2018/4/10	2024/11/12	critical
109000	SUSE SLES11セキュリティ更新プログラム：MozillaFirefox（SUSE-SU-2018:0907-1）	Nessus	SuSE Local Security Checks	2018/4/11	2024/11/7	critical
109409	Debian DLA-1368-1: libvorbisセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2018/4/30	2024/10/16	critical
289347	MiracleLinux 4libvorbis-1.2.3-5.AXS4.1AXSA:2018-2651:01	Nessus	Miracle Linux Local Security Checks	2026/1/16	2026/1/16	high
290117	MiracleLinux 4firefox-52.7.2-1.0.1.AXS4AXSA:2018-2628:03	Nessus	Miracle Linux Local Security Checks	2026/1/16	2026/1/16	high

検出

プラグインの検索

high

critical

high

high

critical

critical

critical

high

high