MozillaFirefox 已更新至版本 3.6.24 版，可修正下列安全性問題：

- MFSA 2011-46/CVE-2011-3647 (bmo#680880) loadSubScript 解開包裝 XPCNativeWrapper 的 scope 參數

- MFSA 2011-47/CVE-2011-3648 (bmo#690225) 使用 Shift-JIS 的網站可能受到 XSS

- MFSA 2011-49/CVE-2011-3650 (bmo#674776) 使用 Firebug 剖析時出現記憶體損毀

在 mozilla NSS、firefox 和 thunderbird 中發現多個安全性問題且已修正：

DigiCert Sdn 核發的 22 個弱式 512 位元憑證。Bhd 憑證授權單位已從 root CA 儲存空間中撤銷。此問題已透過 rootcerts-20111103.00 和 nss-3.13 修正。DigiCert Sdn。Bhd 為 Entrust 和 Verizon (GTE CyberTrust) 底下的馬來西亞附屬憑證授權單位。其與美國公司 DigiCert, Inc. (Mozilla 的 root 計畫成員) 無聯盟關係。

Mozilla Network Security Services (NSS) 中有一個不受信任的搜尋路徑弱點，可能允許本機使用者透過頂層目錄中的特洛伊木馬程式 pkcs11.txt 檔案取得權限 (CVE-2011-3640)。

在 3.6.24 之前的版本和 4.x 至 7.0 版的 Mozilla Firefox，以及 3.1.6 之前的版本和 5.0 至 7.0 版的 Thunderbird 中，跨網站指令碼 (XSS) 弱點允許遠端攻擊者透過具有 Shift JIS 編碼的特製文字，插入任意 Web 指令碼或 HTML (CVE-2011-3648)。

3.6.24 之前的版本及 4.x 至 7.0 版 Mozilla Firefox，以及 3.1.6 之前的版本及 5.0 至 7.0 版 Thunderbird，並未正確處理含有多個函式的 JavaScript 檔案，進而允許使用者協助的遠端攻擊者透過由除錯 API 存取的特製檔案，造成拒絕服務 (記憶體損毀和應用程式損毀)，或是可能造成其他不明影響；Firebug 即為一例 (CVE-2011-3650)。

下列弱點僅影響 Mandriva Linux 2011：

在 Mozilla Firefox 7.0 和 Thunderbird 7.0 中，瀏覽器引擎有多個不明弱點，允許遠端攻擊者透過不明向量造成拒絕服務 (記憶體損毀及應用程式損毀)，或可能執行任意程式碼 (CVE-2011-3651)。

在 8.0 版之前的 Mozilla Firefox 和 8.0 版之前的 Thunderbird 中，瀏覽器引擎並未正確配置記憶體，進而允許遠端攻擊者透過未知向量造成拒絕服務 (記憶體損毀及應用程式損毀)，或可能執行任意程式碼 (CVE-2011-3652)。

在 8.0 版之前的 Mozilla Firefox 和 8.0 版之前的 Thunderbird 中，瀏覽器引擎並未正確處理 SVG mpath 元素對非 SVG 元素的連結，進而允許遠端攻擊者透過未知向量造成拒絕服務 (記憶體損毀及應用程式損毀)，或可能執行任意程式碼 (CVE-2011-3654)。

4.x 至 7.0 版 Mozilla Firefox 和 5.0 至 7.0 版 Thunderbird 執行存取控制時未檢查 NoWaiverWrapper 包裝函式的使用，進而允許遠端攻擊者透過特製的網站取得權限 (CVE-2011-3655)。

下列弱點僅影響 Mandriva Enterpriser Server 5.2 和 Mandriva Linux 2010.2：

在 3.6.24 版之前的 Mozilla Firefox 和 3.1.6 版之前的 Thunderbird 中，JSSubScriptLoader 在呼叫附加元件中的 loadSubScript 方法期間，未正確處理 XPCNativeWrappers，這會讓遠端攻擊者更容易透過利用特定解開包裝行為的特製網站取得權限；這是一個與 CVE-2011-3004 相關的問題 (CVE-2011-3647)。

此外，需要這麼做的部分套件已經重建，並以更新的方式提供。

Mozilla Firefox 已更新至 1.9.2.24 版 (bnc#728520)，修正了下列安全性問題：

- (bmo#680880) loadSubScript 解開包裝 XPCNativeWrapper 範圍參數。(MFSA 2011-46 / CVE-2011-3647)

- (bmo#690225) 使用 Shift-JIS 的網站可能造成 XSS。(MFSA 2011-47 / CVE-2011-3648)

- (bmo#674776) 使用 Firebug 分析時出現記憶體損毀。(MFSA 2011-49 / CVE-2011-3650)

遠端主機受到 GLSA-201301-01 中所述的弱點影響 (Mozilla 產品：多個弱點)

在 Mozilla Firefox、Thunderbird、SeaMonkey、NSS、GNU IceCat 與 XULRunner 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。
 影響：

遠端攻擊者可引誘使用者檢視特製的網頁或電子郵件，進而可能導致執行任意程式碼或拒絕服務情況。此外，遠端攻擊者或許能夠執行攔截式攻擊、取得敏感資訊、繞過限制及保護機制、強制檔案下載、發動 XML 插入攻擊、發動 XSS 攻擊、繞過同源原則、偽造 URL 以發動網路釣魚攻擊、觸發垂直捲動、偽造位置列、偽造 SSL 指示器、修改瀏覽器的字型、發動點擊劫持攻擊，或造成其他不明的影響。
 本機攻擊者可取得提升的權限、取得敏感資訊，或取代任意下載檔案。
 因應措施：

目前尚無已知的因應措施。

Versions of Firefox earlier than 3.6.24 are potentially affected by multiple vulnerabilities :

 - A flaw exists within the 'JSSubScriptLoader' that incorrectly unwraps 'XPCNativeWrappers'.  By tricking a user into installing a malicious plug-in, an attacker could exploit this issue to execute arbitrary code. (CVE-2011-3647)
 - Certain invalid sequences are not handled properly in 'Shift-JIS' encoding and can allow cross-site scripting (XSS) attacks. (CVE-2011-3648)
 - Profiling JavaScript files with many functions can cause the application to crash.  It may be possible to trigger this behavior even when the debugging APIs are not being used. (CVE-2011-3650)

ID	名前	製品	ファミリー	公開日	更新日	深刻度
75657	openSUSE 安全性更新：MozillaFirefox (openSUSE-SU-2011:1242-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/14	high
56765	Mandriva Linux 安全性公告：mozilla (MDVSA-2011:169)	Nessus	Mandriva Local Security Checks	2011/11/10	2021/1/6	info
57084	SuSE 11.1 安全性更新：Mozilla Firefox (SAT 修補程式編號 5429)	Nessus	SuSE Local Security Checks	2011/12/13	2021/1/19	info
63402	GLSA-201301-01：Mozilla 產品：多個弱點 (BEAST)	Nessus	Gentoo Local Security Checks	2013/1/8	2022/12/5	critical
9377	Mozilla Firefox < 3.6.24 Multiple Vulnerabilities	Nessus Network Monitor	Web Clients	2016/6/24	2019/3/6	high

検出

プラグインの検索

high

info

info

critical

high