リモートホストにインストールされている firefox のバージョンは、115.12.0-1 より前です。したがって、ALAS2FIREFOX-2024-026 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    予約済み注: https://www.mozilla.org/en-US/security/advisories/mfsa2022-30/#CVE-2022-2205 (CVE-2022-2205)

    攻撃者が、resource: など内部 URI を介してアクセス可能なスタイルシートに CSS を注入し、そうすることでページのコンテンツセキュリティポリシーを回避していた可能性があります。この脆弱性は、Firefox ESR < 91.11、Thunderbird < 102、Thunderbird < 91.11、Firefox < 101 に影響します。(CVE-2022-31744)

    Mozilla に欠陥が見つかりました。Mozilla Foundation のセキュリティアドバイザリでは、ローカルファイルシステムから Windows のショートカットを開く際の問題について説明しています。攻撃者がリモートパスを供給し、オペレーティングシステムからの予期しないネットワークリクエストが発生する可能性がありました。(CVE-2022-36314)

    過剰に長い URL のウェブサイトにアクセスすると、ユーザーの操作がハングアップし始めます。セッションの回復により、これが永続的なサービス拒否に至る可能性があります。<br>*このバグは Android 版 Firefox にのみ影響します。
    その他のオペレーティングシステムは影響を受けません。* この脆弱性の影響を受けるのは、Firefox < 103 です。(CVE-2022-36317)

    予約済み注: https://www.mozilla.org/en-US/security/advisories/mfsa2022-30/#CVE-2022-36320 (CVE-2022-36320)

    ガベージコレクションが適切なタイミングでトリガーされた場合、オブジェクトの移植中にメモリ解放後使用 (Use-After-Free) が発生する可能性がありました。この脆弱性の影響を受けるのは、Firefox < 127 および Firefox ESR < 115.12 です。(CVE-2024-5688)

    ブラウザを「X-Frame-Options」ヘッダーで騙すことで、サンドボックス化された iframe がボタンを表示する可能性がありました。このボタンがユーザーによってクリックされると、制限をバイパスして新しいウィンドウを開くことができました。この脆弱性の影響を受けるのは、Firefox < 127 および Firefox ESR < 115.12 です。(CVE-2024-5691)

    オフスクリーン Canvas が、クロスオリジン汚染を適切に追跡しませんでした。これは、同一オリジンポリシーに違反して別のサイトから画像データにアクセスするために使用される可能性があります。この脆弱性の影響を受けるのは、Firefox < 127、Firefox ESR < 115.12、Thunderbird < 115.12 です。(CVE-2024-5693)

    Firefox 126、Firefox ESR 115.11、および Thunderbird 115.11 に存在するメモリの安全性のバグ。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、手間をかけることにより、これらの一部が悪用され、任意のコードが実行される可能性があると推測しています。この脆弱性の影響を受けるのは、Firefox < 127 および Firefox ESR < 115.12 です。
    (CVE-2024-5700)

    ネットワークスタックのメモリ破損により、悪用可能なクラッシュを引き起こす可能性がありました。この脆弱性の影響を受けるのは、Firefox < 125 および Firefox ESR < 115.12 です。(CVE-2024-5702)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of firefox installed on the remote host is prior to 115.12.0-1. It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2FIREFOX-2024-026 advisory.

    RESERVEDNOTE: https://www.mozilla.org/en-US/security/advisories/mfsa2022-30/#CVE-2022-2205 (CVE-2022-2205)

    An attacker could have injected CSS into stylesheets accessible via internal URIs, such as resource:, and     in doing so bypass a page's Content Security Policy. This vulnerability affects Firefox ESR < 91.11,     Thunderbird < 102, Thunderbird < 91.11, and Firefox < 101. (CVE-2022-31744)

    A flaw was found in Mozilla. The Mozilla Foundation Security Advisory describes the issue of when opening     a Windows shortcut from the local filesystem, an attacker could supply a remote path that leads to     unexpected network requests from the operating system. (CVE-2022-36314)

    When visiting a website with an overly long URL, the user interface would start to hang. Due to session     restore, this could lead to a permanent Denial of Service.<br>*This bug only affects Firefox for Android.
    Other operating systems are unaffected.*. This vulnerability affects Firefox < 103. (CVE-2022-36317)

    RESERVEDNOTE: https://www.mozilla.org/en-US/security/advisories/mfsa2022-30/#CVE-2022-36320     (CVE-2022-36320)

    If a garbage collection was triggered at the right time, a use-after-free could have occurred during     object transplant. This vulnerability affects Firefox < 127 and Firefox ESR < 115.12. (CVE-2024-5688)

    By tricking the browser with a `X-Frame-Options` header, a sandboxed iframe could have presented a button     that, if clicked by a user, would bypass restrictions to open a new window. This vulnerability affects     Firefox < 127 and Firefox ESR < 115.12. (CVE-2024-5691)

    Offscreen Canvas did not properly track cross-origin tainting, which could be used to access image data     from another site in violation of same-origin policy. This vulnerability affects Firefox < 127, Firefox     ESR < 115.12, and Thunderbird < 115.12. (CVE-2024-5693)

    Memory safety bugs present in Firefox 126, Firefox ESR 115.11, and Thunderbird 115.11. Some of these bugs     showed evidence of memory corruption and we presume that with enough effort some of these could have been     exploited to run arbitrary code. This vulnerability affects Firefox < 127 and Firefox ESR < 115.12.
    (CVE-2024-5700)

    Memory corruption in the networking stack could have led to a potentially exploitable crash. This     vulnerability affects Firefox < 125 and Firefox ESR < 115.12. (CVE-2024-5702)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

远程主机上安装的 Firefox 版本低于 115.12.0-1。因此，它受到 ALAS2FIREFOX-2024-026 公告中提及的多个漏洞影响。

    RESERVEDNOTE：https://www.mozilla.org/en-US/security/advisories/mfsa2022-30/#CVE-2022-2205 (CVE-2022-2205)

    攻击者可能已将 CSS 注入可通过内部 URI 访问的样式表例如（如 resource:），从而绕过页面的内容安全策略。此漏洞会影响 Firefox ESR < 91.11、Thunderbird < 102、Thunderbird < 91.11 和 Firefox < 101。(CVE-2022-31744)

    在 Mozilla 中发现一个缺陷。Mozilla 基金会安全公告将此问题描述为：从本地文件系统打开 Windows 快捷方式时，攻击者可提供会导致操作系统发出意外网络请求的远程路径。(CVE-2022-36314)

    访问 URL 过长的网站时，用户界面会挂起。由于会话还原，这可能导致程序永久拒绝服务。<br>*此错误仅影响 Android 版 Firefox。
    其他操作系统不受影响。* 此漏洞会影响 Firefox < 103。(CVE-2022-36317)

    RESERVEDNOTE：https://www.mozilla.org/en-US/security/advisories/mfsa2022-30/#CVE-2022-36320(CVE-2022-36320)

    如果在正确的时间触发垃圾回收，则对象移植期间可能会发生释放后使用。该漏洞影响 Firefox < 127 和 Firefox ESR < 115.12。(CVE-2024-5688)

    通过使用 `X-Frame-Options` 标头欺骗浏览器，沙盒 iframe 可以展示一个按钮，在用户点击后绕过限制以打开新窗口。该漏洞影响 Firefox < 127 和 Firefox ESR < 115.12。(CVE-2024-5691)

    Offscreen Canvas 未正确跟踪跨源污染，攻击者可在违反同源策略的情况下利用它来访问其他站点的图像数据。此漏洞会影响 Firefox < 127、Firefox ESR < 115.12 和 Thunderbird < 115.12。(CVE-2024-5693)

    Firefox 126、Firefox ESR 115.11 和 Thunderbird 115.11 中的内存安全缺陷。其中某些错误展示出内存损坏迹象，我们推测如果攻击者进行足够的尝试，则可以利用此漏洞运行任意代码。该漏洞影响 Firefox < 127 和 Firefox ESR < 115.12。
    (CVE-2024-5700)

    网络堆栈中的内存损坏可能导致潜在的可利用崩溃。此漏洞会影响 Firefox < 125 和 Firefox ESR < 115.12。(CVE-2024-5702)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端主機上安裝的 Firefox 版本比 115.12.0-1 舊。因此，會受到 ALAS2FIREFOX-2024-026 公告中所提及的多個弱點影響。

    RESERVEDNOTE：https://www.mozilla.org/en-US/security/advisories/mfsa2022-30/#CVE-2022-2205 (CVE-2022-2205)

    攻擊者可將 CSS 注入可透過內部 URI (例如 resource:) 存取的樣式表中，藉此繞過頁面的內容安全性原則。此弱點會影響 Firefox ESR < 91.11、Thunderbird < 102、Thunderbird < 91.11 和 Firefox < 101。(CVE-2022-31744)

    在 Mozilla 中發現一個缺陷。- Mozilla Foundation 安全公告將此問題描述為：從本機檔案系統開啟 Windows 捷徑時，攻擊者可提供會導致作業系統發出意外網路要求的遠端路徑。(CVE-2022-36314)

    造訪 URL 過長的網站時，使用者介面會懸置。由於工作階段還原，這可導致程式永久拒絕服務。<br>* 此問題僅會影響適用於 Android 的 Firefox。
    其他作業系統不受影響。* 此弱點會影響 Firefox < 103。(CVE-2022-36317)

    RESERVEDNOTE：https://www.mozilla.org/en-US/security/advisories/mfsa2022-30/#CVE-2022-36320 (CVE-2022-36320)

    如果在正確的時間觸發記憶體回收，則可在物件移植期間發生釋放後使用。此弱點會影響 Firefox < 127 和 Firefox ESR < 115.12。(CVE-2024-5688)

    透過「X-Frame-Options」標頭誘騙瀏覽器，沙箱化 iframe 可呈現一個按鈕，若使用者點選此按鈕，便可繞過開啟新視窗的限制。此弱點會影響 Firefox < 127 和 Firefox ESR < 115.12。(CVE-2024-5691)

    Offscreen Canvas 未正確追蹤跨來源污染，攻擊者可利用此弱點在違反同源原則的情況下，從其他網站存取影像資料。此弱點會影響 Firefox < 127、Firefox ESR < 115.12 及 Thunderbird < 115.12。(CVE-2024-5693)

    Firefox 126、Firefox ESR 115.11 和 Thunderbird 115.11 中存在記憶體安全錯誤。某些錯誤顯示記憶體會遭到損毀，我們推測若有心人士有意操控，可能惡意利用其中部分錯誤執行任意程式碼。此弱點會影響 Firefox < 127 和 Firefox ESR < 115.12。
    (CVE-2024-5700)

    網路堆疊中的記憶體損毀已導致可能遭利用的當機問題。此弱點會影響 Firefox < 125 和 Firefox ESR < 115.12。(CVE-2024-5702)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
202228	Amazon Linux 2 : firefox (ALASFIREFOX-2024-026)	Nessus	Amazon Linux Local Security Checks	2024/7/11	2025/4/7	critical
202228	Amazon Linux 2 : firefox (ALASFIREFOX-2024-026)	Nessus	Amazon Linux Local Security Checks	2024/7/11	2025/4/7	critical
202228	Amazon Linux 2：firefox (ALASFIREFOX-2024-026)	Nessus	Amazon Linux Local Security Checks	2024/7/11	2025/4/7	critical
202228	Amazon Linux 2：firefox (ALASFIREFOX-2024-026)	Nessus	Amazon Linux Local Security Checks	2024/7/11	2025/4/7	critical

検出

プラグインの検索

critical

critical

critical

critical