远程主机受到 GLSA-201811-04 中所述漏洞的影响（Mozilla Firefox：多个漏洞）在 Mozilla Firefox 中发现多个漏洞。请检查下面引用的 CVE 标识符以了解详细信息。影响：远程攻击者可引诱用户查看特制的网页，进而可能以进程的权限来执行任意代码、造成拒绝服务情况、绕过访问限制、访问其他受保护的信息。解决方法：目前无任何已知的解决方法。

此更新将 Thunderbird 升级到版本 60.3.0。

安全修复：

  - Mozilla：在 Firefox 63 和 Firefox ESR 60.3 中修复了内存安全缺陷 (CVE-2018-12390)

  - Mozilla：嵌套事件循环崩溃 (CVE-2018-12392)

  - Mozilla：加载 JavaScript 时，Unicode 转换期间的整数溢出 (CVE-2018-12393)

  - Mozilla：在 Firefox ESR 60.3 中修复了内存安全缺陷 (CVE-2018-12389)

Firefox 63 和 Firefox ESR 60.3 中的内存安全缺陷已修复 (CVE-2018-12390) 嵌套事件循环崩溃 (CVE-2018-12392) Firefox ESR 60.3 中的内存安全错误已修复 (CVE-2018-12389) 在 Unicode 转换加载 JavaScript 过程中存在整数溢出 (CVE-2018-12393)

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2018:3005 公告中提及的多个漏洞的影响。

    Mozilla Firefox 是一个开源 Web 浏览器，旨在满足标准合规性、性能和可移植性要求。

    此更新将 Firefox 升级至 60.3.0 ESR 版本。

    安全修复：

    * Mozilla：已在 Firefox 63 和 Firefox ESR 中修复内存安全缺陷 60.3 (CVE-2018-12390)

    * Mozilla：嵌套事件循环崩溃 (CVE-2018-12392)

    * Mozilla：加载 JavaScript 时，Unicode 转换期间的整数溢出 (CVE-2018-12393)

    * Mozilla：通过标头重写，WebExtension 的域限制绕过 (CVE-2018-12395)

    * Mozilla：在不允许的上下文中可执行 WebExtension 内容脚本 (CVE-2018-12396)

    * Mozilla：WebExtension 本地文件权限检查绕过 (CVE-2018-12397)

    * Mozilla：已修复 Firefox ESR 中的内存安全缺陷 60.3 (CVE-2018-12389)

    有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

    Red Hat 在此感谢 Mozilla 项目报告这些问题。上游感谢原始报告者 Christian Holler、Bob Owen、Boris Zbarsky、Calixte Denizet、Jason Kratzer、Jed Davis、Taegeon Lee、Philipp、Ronald Crane、Raul Gurzau、Gary Kwong、Tyson Smith、Raymond Forbes、Bogdan Tara、Nils、r、Rob Wu、Andrew Swan 和 Daniel Veditz。

    错误修复：

    * 之前，退出 Firefox 时会删除保存在 Firefox 浏览器中并由主密码加密的密码。此更新确保正确处理用于解密存储登录数据的 NSS 文件。因此，重新启动 Firefox 后受影响的密码不再丢失。 (BZ#1638082)

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

在 Thunderbird 中已发现多种安全问题：多个内存安全错误可能导致执行任意代码或拒绝服务。

远程 macOS 主机上安装的 Mozilla Firefox 版本低于 63。因而会受到多个漏洞的影响：- 在适用于 Android 的 Firefox 播放 HTTP Live Stream 期间，可违背安全政策跨源访问音频数据。由于此问题存在于 Android 服务底层，所以通过将 HLS 流视为跨源和不透明访问处理该问题。*注意：此问题仅影响适用于 Android 的 Firefox 。Firefox 的桌面版本不受影响。*(CVE-2018-12391) - 通过脚本打开文档操纵嵌套循环中的用户事件时，由于事件处理不当可触发可遭利用的崩溃。(CVE-2018-12392) - 在 32 位构建中发现一个潜在漏洞，即在脚本转换为内部 UTF-16 表达期间整数溢出可导致分配缓冲区较小，无法进行转换。此漏洞可导致越界写入。*注意：64 位构建不易受到此问题影响。*(CVE-2018-12393) - 通过使用 webRequest API 重写主机请求标头，WebExtension 可通过域前端绕过域限制。这将允许其访问共享主机的域，否则这些域将受到限制。(CVE-2018-12395) - 在以下导航或其他事件的禁用环境下存在 WebExtension 可运行内容脚本漏洞。这允许站点上的 WebExtension 可能在不应该运行的内容脚本上进行权限升级。(CVE-2018-12396) - WebExtension 可请求访问本地文件而不会及时出现警告声称，'Access your data for all websites'显示给用户。这允许扩展在本地页运行内容脚本，当打开本地文件时不会出现权限警告。(CVE-2018-12397) - 通过在某些特殊资源 URI 中使用反射性 URL，如 chrome:，可注入 stylesheets 并绕过内容安全策略 (CSP)。(CVE-2018-12398) - 当注册新的协议处理程序时，API 接受用于误导用户哪个域正在注册新协议的标题参数。这可能导致用户批准未注册的协议处理程序。(CVE-2018-12399) - 在适用于 Android 的 Firefox 个人浏览模式中，favicon 以非个人浏览模式存储在 cache/icons 文件夹中。这允许个人浏览会话期间，访问站点的信息泄露。*注意：此问题仅影响适用于 Android 的 Firefox 。Firefox 的桌面版本不受影响。*(CVE-2018-12400) - 如果在解析字符串中的'?'之后加载 optional 参数，某些特殊资源 URI 将导致不可利用的崩溃。这可导致拒绝服务 (DOS) 攻击。(CVE-2018-12401) - 当选择'Save Page As...'菜单项保存页面时，针对跨域请求发送 SameSite cookie，违背 cookie 策略。这可导致保存基于这些 cookie 的错误资源版本。(CVE-2018-12402) - 如果通过 HTTPS 连接加载站点，但通过 HTTP 加载 favicon 资源，则不会向用户显示混合内容警告。(CVE-2018-12403) - Mozilla 开发人员和社区成员 Christian Holler、Dana Keeler、Ronald Crane、Marcia Knous、Tyson Smith、Daniel Veditz 以及 Steve Fink 报告 Firefox 62 中存在内存安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。(CVE-2018-12388) - Mozilla 开发人员、社区成员 Christian Holler、Bob Owen、Boris Zbarsky、Calixte Denizet、Jason Kratzer、Jed Davis、Taegeon Lee、Philipp、Ronald Crane、Raul Gurzau、Gary Kwong、Tyson Smith、Raymond Forbes 和 Bogdan Tara 报告 Firefox 62 和 Firefox ESR 60.2 中存在内存安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。(CVE-2018-12390) 请注意，Nessus 并不试图利用这些问题，而只依赖于应用程序自我报告的版本号。

在 Thunderbird 中发现多个安全问题。如果用户受到诱骗在浏览环境下打开特制的网站，攻击者可能利用这些问题造成拒绝服务、绕过同源限制或执行任意代码。

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

运行版本 MAIN 4.05 的远程 NewStart CGSL 主机安装有受多个漏洞影响的 firefox 程序包：- 在动态调整 canvas 元素高度和宽度的同时渲染 canvas 内容时，发生缓冲区溢出，导致在当前计算的边界之外写入数据。这会导致潜在可利用的崩溃。此漏洞会影响 Thunderbird < 60、Thunderbird < 52.9、Firefox ESR < 60.1、Firefox ESR < 52.9 和 Firefox < 61。(CVE-2018-12359) - 由专注于该元素触发的变动事件处理程序期间，当删除输入元素时，可出现释放后使用漏洞。这会导致潜在可利用的崩溃。此漏洞会影响 Thunderbird < 60、Thunderbird < 52.9、Firefox ESR < 60.1、Firefox ESR < 52.9 和 Firefox < 61。(CVE-2018-12360) - 在 Supplemental Streaming SIMD Extensions 3 (SSSE3) 定标器完成的图形操作期间，出现整数溢出，造成潜在可利用崩溃。此漏洞会影响 Thunderbird < 60、Thunderbird < 52.9、Firefox ESR < 60.1、Firefox ESR < 52.9 和 Firefox < 61。(CVE-2018-12362) - 当脚本使用变动事件在文档间移动 DOM 节点时，可发生释放后使用漏洞，造成保存有节点的旧文档得到释放，但节点仍有引用其的指针。这会导致潜在可利用的崩溃。此漏洞会影响 Thunderbird < 60、Thunderbird < 52.9、Firefox ESR < 60.1、Firefox ESR < 52.9 和 Firefox < 61。(CVE-2018-12363) - NPAPI 插件（例如 Adobe Flash）可发送 non-simple 跨源请求，通过发出向目标站点进行 307 重定向的同源 POST 绕过 CORS。这会允许恶意站点实施跨站请求伪造 (CSRF) 攻击。此漏洞会影响 Thunderbird < 60、Thunderbird < 52.9、Firefox ESR < 60.1、Firefox ESR < 52.9 和 Firefox < 61。(CVE-2018-12364) - 遭入侵的 IPC 子进程可逃脱内容沙箱，列出文件系统上的任意文件的名称而无需用户同意或进行互动。这会导致暴露私有本地文件。此漏洞会影响 Thunderbird < 60、Thunderbird < 52.9、Firefox ESR < 60.1、Firefox ESR < 52.9 和 Firefox < 61。(CVE-2018-12365) - QCMS（颜色配置文件）转变期间的无效网格大小可导致越界读取被解释为浮点值。这会将隐私数据泄露到输出。此漏洞会影响 Thunderbird < 60、Thunderbird < 52.9、Firefox ESR < 60.1、Firefox ESR < 52.9 和 Firefox < 61。(CVE-2018-12366) - 在变更媒体源类型时捕获媒体流发生的漏洞会随捕获出现。这可能导致流数据转换到错误类型，造成潜在可利用崩溃。此漏洞会影响 Thunderbird < 60、Firefox ESR < 60.1、Firefox ESR < 52.9 和 Firefox < 61。(CVE-2018-5156) - Firefox 60、Firefox ESR 60 和 Firefox ESR 52.8 中已报告内存安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。此漏洞会影响 Thunderbird < 60、Thunderbird < 52.9、Firefox ESR < 60.1、Firefox ESR < 52.9 和 Firefox < 61。(CVE-2018-5188) - 在 67.0.3396.62 之前的 Google Chrome 的 Skia 中的准确性错误，允许远程攻击者通过构建的 HTML 页面执行越界内存写入。(CVE-2018-6126) - 当直接输入时，Reader Mode 未从地址栏中删除显示的 URL 用户名和密码部分。这可用于欺骗当前页面的域。此漏洞会影响 Firefox < 54。(CVE-2017-7762) - Firefox 61 和 Firefox ESR 60.1 中存在内存安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。该漏洞影响 Firefox < 62、Firefox ESR < 60.2 和 Thunderbird < 60.2.1。(CVE-2018-12376) - 在关机过程中，当仍在使用时删除计时器，在某些情况下刷新驱动程序定时器刷新时，可能会发生释放后使用漏洞。这会导致潜在可利用的崩溃。该漏洞影响 Firefox < 62、Firefox ESR < 60.2 和 Thunderbird < 60.2.1。(CVE-2018-12377) - 提供待储存负载值的 JavaScript 代码使用中的 IndexedDB 索引被删除时，可能会发生释放后使用漏洞。这会导致潜在可利用的崩溃。该漏洞影响 Firefox < 62、Firefox ESR < 60.2 和 Thunderbird < 60.2.1。(CVE-2018-12378) - Mozilla Updater 开启含有超长项目文件名的 MAR 格式文件时，可能会触发超出边界写入，进而导致可能遭到恶意利用的损毁。需在含有恶意 MAR 文件的本机系统上手动执行 Mozilla Updater 才会发生此状况。该漏洞影响 Firefox < 62、Firefox ESR < 60.2 和 Thunderbird < 60.2.1。(CVE-2018-12379) - 如果用户在 Firefox 58 之前保存了密码，之后再设置主密码，则仍可访问这些密码的未加密副本。这是因为将数据复制为 Firefox 58 中启动的新格式时，之前已存储的密码文件并未删除。系统只会将新的主密码添加到新文件。这可能会导致用户意料之外的已存储密码数据泄露情况。该漏洞影响 Firefox < 62、Firefox ESR < 60.2.1 和 Thunderbird < 60.2.1。(CVE-2018-12383) - JavaScript 中的寄存器分配漏洞可导致类型混淆，允许任意读取和写入。这会导致在触发时，沙箱型内容进程内的远程代码执行。该漏洞影响 Firefox ESR < 60.2.2 和 Firefox < 62.0.3。(CVE-2018-12386) - JavaScript JIT 编译器使用多个参数内联 Array.prototype.push 时存在漏洞，造成堆栈指针在 bailout 后偏离 8 个字节。这会泄露调用函数的内存地址，并可用于沙箱型内容进程内可利用的一部分。该漏洞影响 Firefox ESR < 60.2.2 和 Firefox < 62.0.3。(CVE-2018-12387) - 用含有 autofs 的 automount 功能可绕过 Firefox proxy 设置，进而可在本地文件系统上创建装入点。使用 `file:` URI 即可直接从此已装载文件系统加载内容，绕过已配置的 proxy 设置。该问题仅影响默认配置的 OS X；在 Linux 系统上，还必须安装 autofs 才会出现漏洞。(CVE-2017-16541) - Mozilla 开发人员、社区成员报告 Firefox ESR 60.2 中存在内存安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。该漏洞影响 Firefox ESR < 60.3 和 Thunderbird < 60.3。(CVE-2018-12389) - 通过脚本打开文档操纵嵌套循环中的用户事件时，由于事件处理不当可触发可遭利用的崩溃。该漏洞影响 Firefox < 63、Firefox ESR < 60.3 和 Thunderbird < 60.3。(CVE-2018-12392) - 通过使用 webRequest API 重写 Host: request 标头，WebExtension 可通过域前端绕过域限制。这将允许其访问共享主机的域，否则这些域将受到限制。该漏洞影响 Firefox ESR < 60.3 和 Firefox < 63。(CVE-2018-12395) - 在以下导航或其他事件的禁用环境下存在 WebExtension 可运行内容脚本漏洞。这允许站点上的 WebExtension 可能在不应该运行的内容脚本上进行权限升级。该漏洞影响 Firefox ESR < 60.3 和 Firefox < 63。(CVE-2018-12396) - WebExtension 可请求访问本地文件而不会及时出现警告说明“扩展将访问显示给用户所有网站的数据”。这允许扩展在本地页运行内容脚本，当打开本地文件时不会出现权限警告。该漏洞影响 Firefox ESR < 60.3 和 Firefox < 63。(CVE-2018-12397) - 在用于 SSL 的 TransportSecurityInfo 中发现可能遭到恶意利用的损毁，这可能是由储存在用户配置文件目录内本地缓存中的数据所触发。只有配合攻击者可借以将数据写入本地缓存，或从本地安装恶意软件写入数据的其他漏洞，此问题才能遭到利用。若使用相同的配置文件，此问题也会针对在 Firefox 的 Nightly 和 Release 版本之间切换的用户触发无法利用的开机崩溃。此漏洞会影响 Thunderbird < 60.2.1、Firefox ESR < 60.2.1 和 Firefox < 62.0.2。(CVE-2018-12385) - Mozilla 开发人员、社区成员报告 Firefox 62 和 Firefox ESR 60.2 中存在内存安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。该漏洞影响 Firefox < 63、Firefox ESR < 60.3 和 Thunderbird < 60.3。(CVE-2018-12390) - 在 32 位构建中发现一个潜在漏洞，即在脚本转换为内部 UTF-16 表达期间整数溢出可导致分配缓冲区较小，无法进行转换。此漏洞可导致越界写入。*注意：64 位构建不易受到此问题影响。* 该漏洞影响 Firefox < 63、Firefox ESR < 60.3 和 Thunderbird < 60.3。(CVE-2018-12393) 请注意，Nessus 并未针对此问题进行测试，而仅依赖应用程序自我报告的版本号。

Versions of Mozilla Firefox prior to 63 are unpatched for the following vulnerabilities as referenced in the mfsa2018-26 advisory:

 - A memory corruption bug exists that may lead to arbitrary code execution (CVE-2018-12388, CVE-2018-12390)
 - During HTTP Live Stream playback on Firefox for Android, audio data can be accessed across origins in violation of security policies. Because the problem is in the underlying Android service, this issue is addressed by treating all HLS streams as cross-origin and opaque to access. (CVE-2018-12391)
 - When manipulating user events in nested loops while opening a document through script, it is possible to trigger a potentially exploitable crash due to poor event handling. (CVE-2018-12392)
 - A potential vulnerability was found in 32-bit builds where an integer overflow during the conversion of scripts to an internal UTF-16 representation could result in allocating a buffer too small for the conversion. This leads to a possible out-of-bounds write. (CVE-2018-12393)
 - By rewriting the Host request headers using the webRequest API, a WebExtension can bypass domain restrictions through domain fronting. This would allow access to domains that share a host that are otherwise restricted. (CVE-2018-12395)
 - A vulnerability where a WebExtension can run content scripts in disallowed contexts following navigation or other events. This allows for potential privilege escalation by the WebExtension on sites where content scripts should not be run. (CVE-2018-12396)
 - A WebExtension can request access to local files without the warning prompt stating that the extension will 'Access your data for all websites' being displayed to the user. This allows extensions to run content scripts in local pages without permission warnings when a local file is opened. (CVE-2018-12397)
 - By using the reflected URL in some special resource URIs, such as chrome:, it is possible to inject stylesheets and bypass Content Security Policy (CSP). (CVE-2018-12398)
 - When a new protocol handler is registered, the API accepts a title argument which can be used to mislead users about which domain is registering the new protocol. This may result in the user approving a protocol handler that they otherwise would not have. (CVE-2018-12399)
 - In private browsing mode on Firefox for Android, favicons are cached in the cache/icons folder as they are in non-private mode. This allows information leakage of sites visited during private browsing sessions. (CVE-2018-12400)
 - Some special resource URIs will cause a non-exploitable crash if loaded with optional parameters following a '?' in the parsed string. This could lead to denial of service (DOS) attacks. (CVE-2018-12401)
 - SameSite cookies are sent on cross-origin requests when the 'Save Page As...' menu item is selected to save a page, violating cookie policy. This can result in saving the wrong version of resources based on those cookies. (CVE-2018-12402)
 - If a site is loaded over a HTTPS connection but loads a favicon resource over HTTP, the mixed content warning is not displayed to users. (CVE-2018-12403)

ID	名前	製品	ファミリー	公開日	更新日	深刻度
118848	GLSA-201811-04：Mozilla Firefox：多个漏洞	Nessus	Gentoo Local Security Checks	2018/11/9	2024/7/24	critical
119210	Scientific Linux 安全更新：SL7.x x86_64 上的 thunderbird (20181109)	Nessus	Scientific Linux Local Security Checks	2018/11/27	2024/7/18	critical
122158	Amazon Linux 2 : thunderbird (ALAS-2019-1157)	Nessus	Amazon Linux Local Security Checks	2019/2/14	2024/6/20	critical
118374	RHEL 7：firefox (RHSA-2018:3005)	Nessus	Red Hat Local Security Checks	2018/10/25	2025/4/15	critical
118894	Debian DSA-4337-1：thunderbird - 安全更新	Nessus	Debian Local Security Checks	2018/11/13	2024/7/24	critical
118396	Mozilla Firefox < 63 Multiple Vulnerabilities (macOS)	Nessus	MacOS X Local Security Checks	2018/10/25	2024/7/29	critical
121381	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS：Thunderbird 漏洞 (USN-3868-1)	Nessus	Ubuntu Local Security Checks	2019/1/25	2024/8/27	critical
127404	NewStart CGSL MAIN 4.05：firefox 多个漏洞 (NS-SA-2019-0141)	Nessus	NewStart CGSL Local Security Checks	2019/8/12	2021/1/14	critical
700410	Mozilla Firefox < 63 Multiple Vulnerabilities	Nessus Network Monitor	Web Clients	2019/2/6	2019/3/6	high

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical

high