リモートホストにインストールされている firefox のバージョンは、115.12.0-1 より前です。したがって、ALAS2FIREFOX-2024-026 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    予約済み注: https://www.mozilla.org/en-US/security/advisories/mfsa2022-30/#CVE-2022-2205 (CVE-2022-2205)

    攻撃者が、resource: など内部 URI を介してアクセス可能なスタイルシートに CSS を注入し、そうすることでページのコンテンツセキュリティポリシーを回避していた可能性があります。この脆弱性は、Firefox ESR < 91.11、Thunderbird < 102、Thunderbird < 91.11、Firefox < 101 に影響します。(CVE-2022-31744)

    Mozilla に欠陥が見つかりました。Mozilla Foundation のセキュリティアドバイザリでは、ローカルファイルシステムから Windows のショートカットを開く際の問題について説明しています。攻撃者がリモートパスを供給し、オペレーティングシステムからの予期しないネットワークリクエストが発生する可能性がありました。(CVE-2022-36314)

    過剰に長い URL のウェブサイトにアクセスすると、ユーザーの操作がハングアップし始めます。セッションの回復により、これが永続的なサービス拒否に至る可能性があります。<br>*このバグは Android 版 Firefox にのみ影響します。
    その他のオペレーティングシステムは影響を受けません。* この脆弱性の影響を受けるのは、Firefox < 103 です。(CVE-2022-36317)

    予約済み注: https://www.mozilla.org/en-US/security/advisories/mfsa2022-30/#CVE-2022-36320 (CVE-2022-36320)

    ガベージコレクションが適切なタイミングでトリガーされた場合、オブジェクトの移植中にメモリ解放後使用 (Use-After-Free) が発生する可能性がありました。この脆弱性の影響を受けるのは、Firefox < 127 および Firefox ESR < 115.12 です。(CVE-2024-5688)

    ブラウザを「X-Frame-Options」ヘッダーで騙すことで、サンドボックス化された iframe がボタンを表示する可能性がありました。このボタンがユーザーによってクリックされると、制限をバイパスして新しいウィンドウを開くことができました。この脆弱性の影響を受けるのは、Firefox < 127 および Firefox ESR < 115.12 です。(CVE-2024-5691)

    オフスクリーン Canvas が、クロスオリジン汚染を適切に追跡しませんでした。これは、同一オリジンポリシーに違反して別のサイトから画像データにアクセスするために使用される可能性があります。この脆弱性の影響を受けるのは、Firefox < 127、Firefox ESR < 115.12、Thunderbird < 115.12 です。(CVE-2024-5693)

    Firefox 126、Firefox ESR 115.11、および Thunderbird 115.11 に存在するメモリの安全性のバグ。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、手間をかけることにより、これらの一部が悪用され、任意のコードが実行される可能性があると推測しています。この脆弱性の影響を受けるのは、Firefox < 127 および Firefox ESR < 115.12 です。
    (CVE-2024-5700)

    ネットワークスタックのメモリ破損により、悪用可能なクラッシュを引き起こす可能性がありました。この脆弱性の影響を受けるのは、Firefox < 125 および Firefox ESR < 115.12 です。(CVE-2024-5702)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2022:3281-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Mozilla Thunderbird 102.2.2 に対する更新:
    - CVE-2022-3033:META リフレッシュタグ(bsc#1203007)を含む HTML メールへの返信を作成する際の機密情報の漏洩を修正しました。
    - CVE-2022-3032:iframe の srcdoc 属性内にネスト化した HTML ドキュメントで指定されたリモートコンテンツのブロックの欠落を修正しました(bsc#1203007)。
    - CVE-2022-3034:HTML メールの iframe 要素がネットワークリクエストを発生する可能性のある問題を修正しました(bsc#1203007)。
    - CVE-2022-36059:Thunderbird サービス攻撃にバンドルされた Matrix SDK の DoS を修正しました(bsc#1203007)。

    - CVE-2022-38472:XSLT エラー処理によるアドレスバースプーフィングを修正しました(bsc#1202645)。
    - CVE-2022-38473:親の権限を継承するクロスオリジン XSLT ドキュメントを修正しました(bsc#1202645)。
    - CVE-2022-38476:PK11_ChangePW でのデータ競合と潜在的な use-after-free を修正しました(bsc#1202645)。
    - CVE-2022-38477: メモリの安全性に関するバグを修正 (bsc#1202645)。
    - CVE-2022-38478: メモリの安全性に関するバグを修正 (bsc#1202645)。

    - CVE-2022-36319:CSS 変換によるマウス位置のなりすましを修正しました(bsc#1201758)。
    - CVE-2022-36318:バンドルされたリソースのディレクトリインデックスが URL パラメーターを反映したを修正しました(bsc#1201758)。
    - CVE-2022-36314:ローカル.lnkファイルを開く際の予期しないネットワークロードを修正しました(bsc#1201758)。
    - CVE-2022-2505: メモリの安全性に関するバグを修正 (bsc#1201758)。

    - CVE-2022-34479:Web コンテンツでアドレスバーを覆う可能性のある脆弱性を修正しました(bsc#1200793)。
    - CVE-2022-34470:nsSHistory で use-after-free を修正しました(bsc#1200793)。
    - CVE-2022-34468:リターゲットされた javascript を介して、「allow-scripts」バイパスのない CSP サンドボックスヘッダーを修正しました(bsc#1200793)。
    - CVE-2022-2226:OpenPGP署名の日付が一致しないメールが誤って有効として承認されていた問題を修正しました(bsc#1200793)。
    - CVE-2022-34481:ReplaceElementsAt の整数オーバーフローを修正しました(bsc#1200793)。
    - CVE-2022-31744:スタイルシートインジェクションを有効にする CSP バイパスを修正しました(bsc#1200793)。
    - CVE-2022-34472:OCSPリクエストがブロックされる原因となる利用できないPACファイルを修正しました(bsc#1200793)。
    - CVE-2022-34478:ユーザーがプロンプトを受け入れた場合の Microsoft プロトコル攻撃を修正しました(bsc#1200793)。
    - CVE-2022-2200:望ましくない属性がプロトタイプ汚染の一部として設定される可能性がある脆弱性を修正しました(bsc#1200793)。
    - CVE-2022-34484: メモリの安全性に関するバグを修正 (bsc#1200793)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Windows ホストにインストールされている Firefox のバージョンは、103.0より前のものです。したがって、mfsa2022-28 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Mozilla 開発者および Mozilla Fuzzing Team は、Firefox 102 に存在するメモリ安全性バグを報告しました。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、十分な労力をもってすればこれらの一部を悪用し、任意のコードを実行することが可能であると推測しています。 (CVE-2022-2505、CVE-2022-36320)

  - オーバーフローおよび変換のための CSS プロパティを組み合わせる際、マウスカーソルが表示とは異なる座標を操作する可能性があります。(CVE-2022-36319)

  - 過剰に長い URL のウェブサイトにアクセスすると、ユーザーの操作がハングアップし始めます。セッションの回復により、これが永続的なサービス拒否に至る可能性があります。このバグは Firefox for Android にのみ影響します。
    その他のオペレーティングシステムは影響を受けません。(CVE-2022-36317)

  - ソーステキストとして「chrome://」URL のディレクトリリストにアクセスすると、いくつかのパラメーターが反映されていました。
    (CVE-2022-36318)

  - ローカルシステムから Windows ショートカットを開くと、攻撃者がリモートパスを供給し、オペレーティングシステムからの予期しないネットワークリクエストが発生する可能性があります。このバグの影響を受けるのは、Windows版のFirefoxのみです。その他のオペレーティングシステムは影響を受けません。(CVE-2022-36314)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Windows ホストにインストールされている Thunderbird は、102.1 より前のバージョンです。したがって、mfsa2022-32 アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Mozilla 開発者および Mozilla Fuzzing Team は、Thunderbird 102 に存在するメモリ安全性バグを報告しました。
    これらのバグの一部にはメモリ破損の証拠が示されており、当社では、十分な労力をもってすればこれらの一部を悪用し、任意のコードを実行することが可能であると推測しています。(CVE-2022-2505)

  - オーバーフローおよび変換のための CSS プロパティを組み合わせる際、マウスカーソルが表示とは異なる座標を操作する可能性があります。(CVE-2022-36319)

  - ソーステキストとして「chrome://」URL のディレクトリリストにアクセスすると、いくつかのパラメーターが反映されていました。
    (CVE-2022-36318)

  - ローカルシステムから Windows ショートカットを開くと、攻撃者がリモートパスを供給し、オペレーティングシステムからの予期しないネットワークリクエストが発生する可能性があります。このバグの影響を受けるのは、Windows 版の Thunderbird のみです。その他のオペレーティングシステムは影響を受けません。(CVE-2022-36314)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2022:3272-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Mozilla Firefox が 102.2.0esr ESR に更新されました:

    * 修正済み:さまざまな安定性、機能性、セキュリティの修正。

    - MFSA 2022-34 (bsc#1202645)

      * CVE-2022-38472 (bmo#1769155)XSLT エラー処理によるアドレスバースプーフィング
      * CVE-2022-38473 (bmo#1771685)クロスオリジン XSLT ドキュメントが親の権限を継承していた可能性があります
      * CVE-2022-38476 (bmo#1760998)PK11_ChangePW におけるデータ競合と潜在的な use-after-free
      * CVE-2022-38477 (bmo#1760611、 bmo#1770219、 bmo#1771159、 bmo#1773363)Firefox 104 および Firefox ESR で修正されたメモリ安全性のバグ 102.2
      * CVE-2022-38478 (bmo#1770630、 bmo#1776658)Firefox 104、Firefox ESR 102.2、Firefox ESR で修正されたメモリ安全性のバグ 91.13

    Firefox 延長サポート版102.1 ESR

      * 修正済み:さまざまな安定性、機能性、セキュリティの修正。

    - MFSA 2022-30 (bsc#1201758)

      * CVE-2022-36319 (bmo#1737722)CSS 変換によるマウス位置のなりすまし
      * CVE-2022-36318 (bmo#1771774)バンドルされたリソースのディレクトリインデックスが URL パラメーターを反映
      * CVE-2022-36314 (bmo#1773894)ローカルの <code>.lnk</code> ファイルを開くと、予期しないネットワーク負荷が発生する可能性があります
      * CVE-2022-2505 (bmo#1769739、 bmo#1772824)Firefox 103 および Firefox 103 で修正されたメモリ安全性のバグ 102.1

    - Firefox 延長サポート版 102.0.1 ESR

      * 修正済み:ファイルエクスプローラーにドラッグして部分的に破損Windowsドロップすることによるブックマークショートカット作成を修正しました(bmo#1774683)
      * 修正済み:ダークモードで開いたときにブックマークのサイドバーが白く点滅する問題を修正しました(bmo#1776157)
      * 修正済み:英語および非ラテン文字両方のコンテンツで多言語スペルチェックが機能しない問題を修正しました(bmo#1773802)
      * 修正済み:開発者ツール:最後に表示されたメッセージが評価結果である場合に、コンソール出力が一番下までスクロールし続ける問題を修正しました(bmo#1776262)
      * 修正済み:*Firefox が閉じているときにクッキーとサイトデータを削除する* チェックボックスが起動時に無効になる問題を修正しました(bmo#1777419)
      * 修正済み:さまざまな安定性の修正

    Firefox 102.0 ESR:

    * 新規:

      - 現在は、より安全な接続を提供しています:Firefox は、Alt-Svc ヘッダーとして HTTPS RR を使用して、HTTPS に自動的にアップグレードできるようになりました。
      - 視聴の楽しみを高めるために、多くのシステムでビデオ再生でフルレンジのカラーレベルがサポートされるようになりました。
      - 今すぐ簡単に見つけてください! Mac ユーザーは、Firefox の [ファイル] メニューから macOS の共有オプションにアクセスできるようになりました。
      - 出来上がり?! ICC v4 プロファイルを含むイメージのサポートは、macOS で有効になっています。
      - Firefox は、最新のロイヤリティフリー AV1 ビデオコーデックに基づく新しい AVIF 画像形式をサポートするようになりました。既存の画像形式と比較して、サイトの帯域幅を大幅に節約できます。また、透明性やその他の高度な機能もサポートしています。
      - Firefox PDF ビューアーは、より多くのフォームへの入力をサポートするようになりました(例えば、複数の政府や銀行で使用されている XFA ベースのフォームなど)。
        詳細はこちら。
      - 利用可能なシステムメモリが極度に少ない場合、Windows 上の Firefox は、最終アクセス時間、メモリ使用量、およびその他の属性に基づいてタブを自動的にアンロードします。これにより、Firefox メモリ不足によるクラッシュを減らすことができます。何か忘れましたか? ロードされていないタブに切り替えると、自動的にリロードされます。
      - マウントされた .dmg ファイルから Firefox を実行している macOS ユーザーのセッション損失を防ぐために、インストールの完了を求めるメッセージが表示されるようになりました。この権限プロンプトは、これらのユーザーがコンピューターでFirefoxを初めて実行しているときにのみ表示されることに注意してください。
      - 安全のため、Firefox は安全でない接続に依存するダウンロードをブロックし、潜在的に悪意のあるダウンロードまたは安全でないダウンロードから保護するようになりました。詳細と、Firefox でダウンロードを見つける場所を確認してください。
      - SmartBlock 3.0 によるプライバシー保護のための Web 互換性の向上: プライベート ブラウジングと厳格なトラッキング保護において、Firefox は Web ブラウジング アクティビティをトラッカーから保護するために多大な努力を払っています。その一環として、組み込みのコンテンツ ブロッキングは、Disconnect が報告したクロスサイト追跡会社からサードパーティのスクリプト、画像、その他のコンテンツが読み込まれるのを自動的にブロックします。詳細はこちら。
      - Strict Tracking Protection and Private Browsing に、新しいリファラトラッキング保護を導入します。この機能は、サイトが知らず知らずのうちにトラッカーに個人情報を漏洩することを防ぎます。詳細はこちら。
      - Firefox Suggest は、アドレス バーに入力すると Web サイトの提案を提供する機能です。Web およびロケール固有の機能をすばやく操作するこの方法の詳細をご覧ください。
      - Firefox macOS は、YouTube や Twitch などのサイトでフルスクリーン ビデオに Apple の低電力モードを使用するようになりました。これにより、長時間の視聴セッションでもバッテリー寿命が大幅に延びます。
        これで、あなたの子供たちは、あなたがビートを逃すことなく、キツネがループで何を言っているかを知ることができます
      - このリリースにより、パワーユーザーは、タブを閉じずに手動でアンロードすることで、about:unloads を使用してシステムリソースを解放できます。
      - Windows では、Firefox が更新を求めないため、中断が少なくなります。代わりに、Firefox が閉じている場合でも、バックグラウンドエージェントが更新をダウンロードしてインストールします。
      - Linux では、多くのユーザーの WebGL パフォーマンスを改善し、消費電力を削減しました。
      - Spectre などのサイドチャネル攻撃からすべての Firefox ユーザーを保護するために、サイト分離を導入しました。
      - メニュー、ボタン、または 3 キーコマンドを使用してブラウザを終了したり、ウィンドウを閉じたりしたときに、Firefox がデフォルトで警告することがなくなりました。これにより、歓迎されない通知が減るはずですが、これは常に良いことですが、少し通知したい場合は、終了/閉じるモーダル動作を完全に制御できます。すべての警告は Firefox Settings で管理できます。心配ない! 詳細については、こちらをご覧ください。
      - Firefox は、Windows 11 で実行されているときに、新しいスナップ レイアウト メニューをサポートします。
      - RLBoxサードパーティライブラリの潜在的なセキュリティ脆弱性に対して Firefox を強化する新しいテクノロジーが、すべてのプラットフォームで有効になりました。
      - イベント処理中の Firefox と WindowServer の macOS の CPU 使用率を削減しました。
      - また、macOS でのソフトウェアでデコードされたビデオ、特にフルスクリーンでのビデオの電力使用量も削減されました。これには、NetflixやAmazonプライムビデオなどのストリーミングサイトが含まれます。
      - ピクチャーインピクチャートグルボタンをビデオの反対側に移動できるようになりました。新しいコンテキスト メニュー オプション「ピクチャー イン ピクチャー トグルを左側 (右) に移動」を探すだけです。
      - ノイズ抑制と自動ゲイン制御を大幅に改善し、エコーキャンセリングをわずかに改善して、全体的なエクスペリエンスを向上させました。
      - メインスレッドの負荷も大幅に低減しました。
      - 印刷時に奇数/偶数ページのみ印刷できるようになりました。
      - Firefox は、Windows 11 で新しいスタイルのスクロールバーをサポートし、表示するようになりました。
      - Firefox には、新しく最適化されたダウンロードフローがあります。毎回プロンプトを表示する代わりに、ファイルは自動的にダウンロードされます。
        ただし、ワンクリックでダウンロードパネルから開くことはできます。簡単! 詳細情報
      - Firefox は、デフォルトで各ファイルに対して何をすべきかを尋ねることがなくなりました。
        その種類のファイルのダウンロード アクション設定を変更しない限り、ファイルをダウンロードする前に、ヘルパー アプリケーションの選択またはディスクへの保存の指示は表示されません。
     - ダウンロードしたファイルはすぐにディスクに保存されます。現在の構成に応じて、ダウンロードはご希望のダウンロードフォルダに保存されるか、ダウンロードごとに場所を選択するよう求められます。Windows および Linux ユーザーは、ダウンロードしたファイルを宛先フォルダーで見つけることができます。Temp フォルダーに配置されなくなります。
      - Firefox では、ユーザーは多数の内蔵検索エンジンから選択してデフォルトとして設定できます。このリリースでは、以前にデフォルトのエンジンを設定していた一部のユーザーが、Mozilla が Firefox に特定の検索エンジンを含め続けるための正式な許可を確保できなかったため、デフォルトの検索エンジンが変更されたことに気付くかもしれません。
      - キーボードショートカット「n」で ReaderMode のナレーションを切り替えることができるようになりました。
      - PDF ビューアーで、発音区別符号の有無にかかわらず検索のサポートが追加されました。
      - Linux サンドボックスが強化され、Web コンテンツに露出されたプロセスは、もはや X Window システムにアクセスできなくなりました(X11)。
      - Firefox は、ドイツ、フランス、英国でクレジットカードの自動入力とキャプチャをサポートするようになりました。
      - ピクチャーインピクチャーで視聴するYouTube、Prime Video、Netflixビデオでのキャプション/字幕の表示をサポートするようになりました。
        ページ内のビデオプレーヤーで字幕をオンにするだけで、PiPに表示されます。
      - ピクチャーインピクチャーは、Web Video Text Track(WebVTT)形式を使用するWebサイト(Coursera.org、Canadian Broadcasting Corporationなど)のビデオキャプションもサポートするようになりました。
      - インストール後の最初の実行時に、Firefox は言語がオペレーティングシステムの言語と一致しないことを検出し、ユーザーに 2 つの言語の選択肢を提供します。
      - Firefox のスペルチェックは、複数の言語のスペルをチェックするようになりました。追加の言語を有効にするには、テキストフィールドのコンテキストメニューでそれらの言語を選択します。
      - HDR動画がMacのFirefoxでサポートされるようになりましたYouTubeから! macOS 11+ (HDR 互換画面) の Firefox ユーザーは、より忠実なビデオ コンテンツを楽しむことができます。HDRビデオサポートをオンにするために設定を手動で切り替える必要はありませんバッテリー設定が、バッテリー使用中にビデオストリーミングを最適化するように設定されていないことを確認してください。
      - ハードウェア アクセラレーションによる AV1 ビデオ デコードは、サポートされている GPU (Intel Gen 11+、Navi 24 を除く AMD RDNA 2、GeForce 30) を備えた Windows で有効になっています。Microsoft Store から AV1 ビデオ拡張機能をインストールする必要がある場合もあります。
      - Windows for Intel GPU ではビデオ オーバーレイが有効になり、ビデオ再生時の電力使用量が削減されます。
      - 他のイベントのペインティングと処理の間の公平性を改善しました。これにより、Twitch のボリューム スライダーのパフォーマンスが大幅に向上します。
      - Linux および Windows 11 のスクロールバーは、デフォルトでスペースを占有しません。Linux では、ユーザーは Settings でこれを変更できます。Windowsでは、Firefoxはシステム設定(システムSettings>アクセシビリティ>視覚効果>常にスクロールバーを表示します)に従います。
      - Firefox は現在、リファラーからのプライバシー漏洩を防ぐために、unsafe-url、no-referrer-when-downgrade、origin-when-cross-origin リクエストの制限が少ないリファラーポリシーを無視します。
      - prefers-contrast メディアクエリによる読み取りが簡単になりました。これにより、サイトは、ユーザーが Web コンテンツのコントラストをより高い(またはより低い)コントラストで表示するようにリクエストしたかどうかを検出できます。
      - すべての構成されていない MIME タイプに、ダウンロードの完了時にカスタムアクションを割り当てることができるようになりました。
      - Firefox では、ユーザーはビデオ会議中に必要な数のマイクを同時に使用できるようになりました。最もエキサイティングな利点は、いつでも簡単にマイクを切り替えることができることです (会議サービス プロバイダーがこの柔軟性を有効にしている場合)。
      - 印刷プレビューが更新されました。

      * 修正済み: さまざまなセキュリティ修正。

    - MFSA 2022-24 (bsc#1200793)

      * CVE-2022-34479 (bmo#1745595)ポップアップウィンドウのサイズを変更して、アドレスバーに Web コンテンツをオーバーレイさせることができます
      * CVE-2022-34470 (bmo#1765951)nsSHistory での use-after-free
      * CVE-2022-34468 (bmo#1768537)「allow-scripts」のない CSP サンドボックスヘッダーが、リターゲットされた javascript: URI を介してバイパスされる可能性があります
      * CVE-2022-34482 (bmo#845880)悪意のあるイメージのドラッグアンドドロップにより、悪意のある実行可能ファイルや潜在的なコードの実行を引き起こす可能性があります
      * CVE-2022-34483 (bmo#1335845)悪意のあるイメージのドラッグアンドドロップにより、悪意のある実行可能ファイルや潜在的なコードの実行を引き起こす可能性があります
      * CVE-2022-34476 (bmo#1387919)ASN.1 パーサーが騙されて、無効な形式の ASN.1 を受け入れる可能性があります
      * CVE-2022-34481 (bmo#1483699、 bmo#1497246)ReplaceElementsAt での整数オーバーフローの可能性
      * CVE-2022-34474 (bmo#1677138)サンドボックス化された iframe が外部スキームにリダイレクトされる可能性があります。
      * CVE-2022-34469 (bmo#1721220)HSTS 保護ドメインのTLS証明書エラーが、Android 用 Firefox のユーザーによってバイパスされる可能性があります
      * CVE-2022-34471 (bmo#1766047)セキュリティ上、危険にさらされたサーバーが、ブラウザを騙してアドオンをダウングレードさせる可能性があります
      * CVE-2022-34472 (bmo#1770123)PAC ファイルが利用できないため、OCSP リクエストがブロックされていました
      * ユーザーがプロンプトを受け入れた場合、 CVE-2022-34478 (bmo#1773717)Microsoftプロトコルが攻撃される可能性があります
      * CVE-2022-2200 (bmo#1771381)プロトタイプ汚染の一部として、望ましくない属性が設定される可能性があります
      * CVE-2022-34480 (bmo#1454072)lg_initの初期化されていないポインターの解放
      * CVE-2022-34477 (bmo#1731614)MediaError メッセージプロパティが、クロスオリジン同一サイトページに情報を漏洩しました
      * CVE-2022-34475 (bmo#1757210)HTML サニタイザーが use タグを介して、同一生成元スクリプトを介してバイパスされる可能性があります
      * CVE-2022-34473 (bmo#1770888)HTML サニタイザーが use タグによりバイパスされる可能性があります
      * CVE-2022-34484 (bmo#1763634、 bmo#1772651)Firefox 102 および Firefox ESR で修正されたメモリ安全性のバグ 91.11
      * CVE-2022-34485 (bmo#1768409、 bmo#1768578)Firefox 102 で修正されたメモリ安全性のバグ

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES12 / SLES_SAP12 ホストには、SUSE-SU-2022:3273-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Mozilla Firefox が 102.2.0esr ESR に更新されました:

    * 修正済み:さまざまな安定性、機能性、セキュリティの修正。

    - MFSA 2022-34 (bsc#1202645)

      * CVE-2022-38472 (bmo#1769155)XSLT エラー処理によるアドレスバースプーフィング
      * CVE-2022-38473 (bmo#1771685)クロスオリジン XSLT ドキュメントが親の権限を継承していた可能性があります
      * CVE-2022-38476 (bmo#1760998)PK11_ChangePW におけるデータ競合と潜在的な use-after-free
      * CVE-2022-38477 (bmo#1760611、 bmo#1770219、 bmo#1771159、 bmo#1773363)Firefox 104 および Firefox ESR で修正されたメモリ安全性のバグ 102.2
      * CVE-2022-38478 (bmo#1770630、 bmo#1776658)Firefox 104、Firefox ESR 102.2、Firefox ESR で修正されたメモリ安全性のバグ 91.13

    Firefox 延長サポート版102.1 ESR

      * 修正済み:さまざまな安定性、機能性、セキュリティの修正。

    - MFSA 2022-30 (bsc#1201758)

      * CVE-2022-36319 (bmo#1737722)CSS 変換によるマウス位置のなりすまし
      * CVE-2022-36318 (bmo#1771774)バンドルされたリソースのディレクトリインデックスが URL パラメーターを反映
      * CVE-2022-36314 (bmo#1773894)ローカルの <code>.lnk</code> ファイルを開くと、予期しないネットワーク負荷が発生する可能性があります
      * CVE-2022-2505 (bmo#1769739、 bmo#1772824)Firefox 103 および Firefox 103 で修正されたメモリ安全性のバグ 102.1

    - Firefox 延長サポート版 102.0.1 ESR

      * 修正済み:ファイルエクスプローラーにドラッグして部分的に破損Windowsドロップすることによるブックマークショートカット作成を修正しました(bmo#1774683)
      * 修正済み:ダークモードで開いたときにブックマークのサイドバーが白く点滅する問題を修正しました(bmo#1776157)
      * 修正済み:英語および非ラテン文字両方のコンテンツで多言語スペルチェックが機能しない問題を修正しました(bmo#1773802)
      * 修正済み:開発者ツール:最後に表示されたメッセージが評価結果である場合に、コンソール出力が一番下までスクロールし続ける問題を修正しました(bmo#1776262)
      * 修正済み:*Firefox が閉じているときにクッキーとサイトデータを削除する* チェックボックスが起動時に無効になる問題を修正しました(bmo#1777419)
      * 修正済み:さまざまな安定性の修正

    Firefox 102.0 ESR:

    * 新規:

      - 現在は、より安全な接続を提供しています:Firefox は、Alt-Svc ヘッダーとして HTTPS RR を使用して、HTTPS に自動的にアップグレードできるようになりました。
      - 視聴の楽しみを高めるために、多くのシステムでビデオ再生でフルレンジのカラーレベルがサポートされるようになりました。
      - 今すぐ簡単に見つけてください! Mac ユーザーは、Firefox の [ファイル] メニューから macOS の共有オプションにアクセスできるようになりました。
      - 出来上がり?! ICC v4 プロファイルを含むイメージのサポートは、macOS で有効になっています。
      - Firefox は、最新のロイヤリティフリー AV1 ビデオコーデックに基づく新しい AVIF 画像形式をサポートするようになりました。既存の画像形式と比較して、サイトの帯域幅を大幅に節約できます。また、透明性やその他の高度な機能もサポートしています。
      - Firefox PDF ビューアーは、より多くのフォームへの入力をサポートするようになりました(例えば、複数の政府や銀行で使用されている XFA ベースのフォームなど)。
        詳細はこちら。
      - 利用可能なシステムメモリが極度に少ない場合、Windows 上の Firefox は、最終アクセス時間、メモリ使用量、およびその他の属性に基づいてタブを自動的にアンロードします。これにより、Firefox メモリ不足によるクラッシュを減らすことができます。何か忘れましたか? ロードされていないタブに切り替えると、自動的にリロードされます。
      - マウントされた .dmg ファイルから Firefox を実行している macOS ユーザーのセッション損失を防ぐために、インストールの完了を求めるメッセージが表示されるようになりました。この権限プロンプトは、これらのユーザーがコンピューターでFirefoxを初めて実行しているときにのみ表示されることに注意してください。
      - 安全のため、Firefox は安全でない接続に依存するダウンロードをブロックし、潜在的に悪意のあるダウンロードまたは安全でないダウンロードから保護するようになりました。詳細と、Firefox でダウンロードを見つける場所を確認してください。
      - SmartBlock 3.0 によるプライバシー保護のための Web 互換性の向上: プライベート ブラウジングと厳格なトラッキング保護において、Firefox は Web ブラウジング アクティビティをトラッカーから保護するために多大な努力を払っています。その一環として、組み込みのコンテンツ ブロッキングは、Disconnect が報告したクロスサイト追跡会社からサードパーティのスクリプト、画像、その他のコンテンツが読み込まれるのを自動的にブロックします。詳細はこちら。
      - Strict Tracking Protection and Private Browsing に、新しいリファラトラッキング保護を導入します。この機能は、サイトが知らず知らずのうちにトラッカーに個人情報を漏洩することを防ぎます。詳細はこちら。
      - Firefox Suggest は、アドレス バーに入力すると Web サイトの提案を提供する機能です。Web およびロケール固有の機能をすばやく操作するこの方法の詳細をご覧ください。
      - Firefox macOS は、YouTube や Twitch などのサイトでフルスクリーン ビデオに Apple の低電力モードを使用するようになりました。これにより、長時間の視聴セッションでもバッテリー寿命が大幅に延びます。
        これで、あなたの子供たちは、あなたがビートを逃すことなく、キツネがループで何を言っているかを知ることができます
      - このリリースにより、パワーユーザーは、タブを閉じずに手動でアンロードすることで、about:unloads を使用してシステムリソースを解放できます。
      - Windows では、Firefox が更新を求めないため、中断が少なくなります。代わりに、Firefox が閉じている場合でも、バックグラウンドエージェントが更新をダウンロードしてインストールします。
      - Linux では、多くのユーザーの WebGL パフォーマンスを改善し、消費電力を削減しました。
      - Spectre などのサイドチャネル攻撃からすべての Firefox ユーザーを保護するために、サイト分離を導入しました。
      - メニュー、ボタン、または 3 キーコマンドを使用してブラウザを終了したり、ウィンドウを閉じたりしたときに、Firefox がデフォルトで警告することがなくなりました。これにより、歓迎されない通知が減るはずですが、これは常に良いことですが、少し通知したい場合は、終了/閉じるモーダル動作を完全に制御できます。すべての警告は Firefox Settings で管理できます。心配ない! 詳細については、こちらをご覧ください。
      - Firefox は、Windows 11 で実行されているときに、新しいスナップ レイアウト メニューをサポートします。
      - RLBoxサードパーティライブラリの潜在的なセキュリティ脆弱性に対して Firefox を強化する新しいテクノロジーが、すべてのプラットフォームで有効になりました。
      - イベント処理中の Firefox と WindowServer の macOS の CPU 使用率を削減しました。
      - また、macOS でのソフトウェアでデコードされたビデオ、特にフルスクリーンでのビデオの電力使用量も削減されました。これには、NetflixやAmazonプライムビデオなどのストリーミングサイトが含まれます。
      - ピクチャーインピクチャートグルボタンをビデオの反対側に移動できるようになりました。新しいコンテキスト メニュー オプション「ピクチャー イン ピクチャー トグルを左側 (右) に移動」を探すだけです。
      - ノイズ抑制と自動ゲイン制御を大幅に改善し、エコーキャンセリングをわずかに改善して、全体的なエクスペリエンスを向上させました。
      - メインスレッドの負荷も大幅に低減しました。
      - 印刷時に奇数/偶数ページのみ印刷できるようになりました。
      - Firefox は、Windows 11 で新しいスタイルのスクロールバーをサポートし、表示するようになりました。
      - Firefox には、新しく最適化されたダウンロードフローがあります。毎回プロンプトを表示する代わりに、ファイルは自動的にダウンロードされます。
        ただし、ワンクリックでダウンロードパネルから開くことはできます。簡単! 詳細情報
      - Firefox は、デフォルトで各ファイルに対して何をすべきかを尋ねることがなくなりました。
        その種類のファイルのダウンロード アクション設定を変更しない限り、ファイルをダウンロードする前に、ヘルパー アプリケーションの選択またはディスクへの保存の指示は表示されません。
     - ダウンロードしたファイルはすぐにディスクに保存されます。現在の構成に応じて、ダウンロードはご希望のダウンロードフォルダに保存されるか、ダウンロードごとに場所を選択するよう求められます。Windows および Linux ユーザーは、ダウンロードしたファイルを宛先フォルダーで見つけることができます。Temp フォルダーに配置されなくなります。
      - Firefox では、ユーザーは多数の内蔵検索エンジンから選択してデフォルトとして設定できます。このリリースでは、以前にデフォルトのエンジンを設定していた一部のユーザーが、Mozilla が Firefox に特定の検索エンジンを含め続けるための正式な許可を確保できなかったため、デフォルトの検索エンジンが変更されたことに気付くかもしれません。
      - キーボードショートカット「n」で ReaderMode のナレーションを切り替えることができるようになりました。
      - PDF ビューアーで、発音区別符号の有無にかかわらず検索のサポートが追加されました。
      - Linux サンドボックスが強化され、Web コンテンツに露出されたプロセスは、もはや X Window システムにアクセスできなくなりました(X11)。
      - Firefox は、ドイツ、フランス、英国でクレジットカードの自動入力とキャプチャをサポートするようになりました。
      - ピクチャーインピクチャーで視聴するYouTube、Prime Video、Netflixビデオでのキャプション/字幕の表示をサポートするようになりました。
        ページ内のビデオプレーヤーで字幕をオンにするだけで、PiPに表示されます。
      - ピクチャーインピクチャーは、Web Video Text Track(WebVTT)形式を使用するWebサイト(Coursera.org、Canadian Broadcasting Corporationなど)のビデオキャプションもサポートするようになりました。
      - インストール後の最初の実行時に、Firefox は言語がオペレーティングシステムの言語と一致しないことを検出し、ユーザーに 2 つの言語の選択肢を提供します。
      - Firefox のスペルチェックは、複数の言語のスペルをチェックするようになりました。追加の言語を有効にするには、テキストフィールドのコンテキストメニューでそれらの言語を選択します。
      - HDR動画がMacのFirefoxでサポートされるようになりましたYouTubeから! macOS 11+ (HDR 互換画面) の Firefox ユーザーは、より忠実なビデオ コンテンツを楽しむことができます。HDRビデオサポートをオンにするために設定を手動で切り替える必要はありませんバッテリー設定が、バッテリー使用中にビデオストリーミングを最適化するように設定されていないことを確認してください。
      - ハードウェア アクセラレーションによる AV1 ビデオ デコードは、サポートされている GPU (Intel Gen 11+、Navi 24 を除く AMD RDNA 2、GeForce 30) を備えた Windows で有効になっています。Microsoft Store から AV1 ビデオ拡張機能をインストールする必要がある場合もあります。
      - Windows for Intel GPU ではビデオ オーバーレイが有効になり、ビデオ再生時の電力使用量が削減されます。
      - 他のイベントのペインティングと処理の間の公平性を改善しました。これにより、Twitch のボリューム スライダーのパフォーマンスが大幅に向上します。
      - Linux および Windows 11 のスクロールバーは、デフォルトでスペースを占有しません。Linux では、ユーザーは Settings でこれを変更できます。Windowsでは、Firefoxはシステム設定(システムSettings>アクセシビリティ>視覚効果>常にスクロールバーを表示します)に従います。
      - Firefox は現在、リファラーからのプライバシー漏洩を防ぐために、unsafe-url、no-referrer-when-downgrade、origin-when-cross-origin リクエストの制限が少ないリファラーポリシーを無視します。
      - prefers-contrast メディアクエリによる読み取りが簡単になりました。これにより、サイトは、ユーザーが Web コンテンツのコントラストをより高い(またはより低い)コントラストで表示するようにリクエストしたかどうかを検出できます。
      - すべての構成されていない MIME タイプに、ダウンロードの完了時にカスタムアクションを割り当てることができるようになりました。
      - Firefox では、ユーザーはビデオ会議中に必要な数のマイクを同時に使用できるようになりました。最もエキサイティングな利点は、いつでも簡単にマイクを切り替えることができることです (会議サービス プロバイダーがこの柔軟性を有効にしている場合)。
      - 印刷プレビューが更新されました。

      * 修正済み: さまざまなセキュリティ修正。

    - MFSA 2022-24 (bsc#1200793)

      * CVE-2022-34479 (bmo#1745595)ポップアップウィンドウのサイズを変更して、アドレスバーに Web コンテンツをオーバーレイさせることができます
      * CVE-2022-34470 (bmo#1765951)nsSHistory での use-after-free
      * CVE-2022-34468 (bmo#1768537)「allow-scripts」のない CSP サンドボックスヘッダーが、リターゲットされた javascript: URI を介してバイパスされる可能性があります
      * CVE-2022-34482 (bmo#845880)悪意のあるイメージのドラッグアンドドロップにより、悪意のある実行可能ファイルや潜在的なコードの実行を引き起こす可能性があります
      * CVE-2022-34483 (bmo#1335845)悪意のあるイメージのドラッグアンドドロップにより、悪意のある実行可能ファイルや潜在的なコードの実行を引き起こす可能性があります
      * CVE-2022-34476 (bmo#1387919)ASN.1 パーサーが騙されて、無効な形式の ASN.1 を受け入れる可能性があります
      * CVE-2022-34481 (bmo#1483699、 bmo#1497246)ReplaceElementsAt での整数オーバーフローの可能性
      * CVE-2022-34474 (bmo#1677138)サンドボックス化された iframe が外部スキームにリダイレクトされる可能性があります。
      * CVE-2022-34469 (bmo#1721220)HSTS 保護ドメインのTLS証明書エラーが、Android 用 Firefox のユーザーによってバイパスされる可能性があります
      * CVE-2022-34471 (bmo#1766047)セキュリティ上、危険にさらされたサーバーが、ブラウザを騙してアドオンをダウングレードさせる可能性があります
      * CVE-2022-34472 (bmo#1770123)PAC ファイルが利用できないため、OCSP リクエストがブロックされていました
      * ユーザーがプロンプトを受け入れた場合、 CVE-2022-34478 (bmo#1773717)Microsoftプロトコルが攻撃される可能性があります
      * CVE-2022-2200 (bmo#1771381)プロトタイプ汚染の一部として、望ましくない属性が設定される可能性があります
      * CVE-2022-34480 (bmo#1454072)lg_initの初期化されていないポインターの解放
      * CVE-2022-34477 (bmo#1731614)MediaError メッセージプロパティが、クロスオリジン同一サイトページに情報を漏洩しました
      * CVE-2022-34475 (bmo#1757210)HTML サニタイザーが use タグを介して、同一生成元スクリプトを介してバイパスされる可能性があります
      * CVE-2022-34473 (bmo#1770888)HTML サニタイザーが use タグによりバイパスされる可能性があります
      * CVE-2022-34484 (bmo#1763634、 bmo#1772651)Firefox 102 および Firefox ESR で修正されたメモリ安全性のバグ 91.11
      * CVE-2022-34485 (bmo#1768409、 bmo#1768578)Firefox 102 で修正されたメモリ安全性のバグ

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2022:3396-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Mozilla Firefox が 102.3.0esr ESR に更新されました(bsc#1200793、 bsc#1201758、 bsc#1202645、 bsc#1203477):

    - CVE-2022-40959:一時的なページでの FeaturePolicy 制限のバイパスを修正しました。
    - CVE-2022-40960:スレッド内の非 UTF-8 URL を解析する際のデータ競合を修正しました。
    - CVE-2022-40958:__Host および __Secure プレフィックスを持つクッキーに対するセキュアコンテキスト制限のバイパスを修正しました。
    - CVE-2022-40956:content-security-policy base-uri のバイパスを修正しました。
    - CVE-2022-40957: ARM64 で WASM を構築するときの矛盾した命令キャッシュを修正しました。
    - CVE-2022-40962:メモリの安全性に関するバグを修正しました。
    - CVE-2022-38472:XSLT エラー処理を通じた潜在的なアドレスバースプーフィングを修正しました。
    - CVE-2022-38473:クロスオリジン XSLT ドキュメントが親の権限を継承する可能性のある問題を修正しました。
    - CVE-2022-38478:さまざまなメモリの安全性に関する問題を修正しました。
    - CVE-2022-38476:PK11_ChangePW でのデータ競合と潜在的な use-after-free を修正しました。
    - CVE-2022-38477:メモリの安全性に関するバグを修正しました。
    - CVE-2022-36319:CSS 変換によるマウス位置のなりすましを修正しました。
    - CVE-2022-36318:バンドルされたリソースのディレクトリインデックスが URL パラメーターを反映しました。
    - CVE-2022-36314:ローカル.lnkファイルを開く際の予期しないネットワークロードを修正しました。
    - CVE-2022-2505:メモリの安全性に関するバグを修正しました。
    - CVE-2022-34479:ポップアップウィンドウのサイズを変更して、Web コンテンツでアドレスバーを覆う方法で発生する可能性のある脆弱性を修正しました。
    - CVE-2022-34470:nsSHistory の use-after-free を修正しました。
    - CVE-2022-34468:リターゲットされた javascript を介した、「allow-scripts」のない CSP サンドボックスヘッダーのバイパスを修正しました:
    URI を作成した後に、location.host プロパティを任意の文字列に設定できることを発見しました。
    - CVE-2022-34482:悪意のある実行可能ファイルやコードの実行を引き起こす可能性のある、悪意のあるイメージのドラッグアンドドロップを修正しました。
    - CVE-2022-34483:悪意のある実行可能ファイルやコードの実行を引き起こす可能性のある、悪意のあるイメージのドラッグアンドドロップを修正しました。
    - CVE-2022-34476:ASN.1 パーサーが騙されて、無効な形式の ASN.1 を受け入れる可能性がある脆弱性を修正しました。
    - CVE-2022-34481:ReplaceElementsAt の整数オーバーフローの可能性を修正しました
    - CVE-2022-34474:サンドボックス化された iframe が外部スキームにリダイレクトされる可能性がある脆弱性を修正しました。
    - CVE-2022-34469:HSTS 保護ドメインでのTLS証明書エラーを修正しました。このエラーは、Android 用 Firefox のユーザーによってバイパスされる可能性があります。
    - CVE-2022-34471:セキュリティ上、危険にさらされたサーバーがブラウザを騙してアドオンダウングレードを実行させる可能性がある脆弱性を修正しました。
    - CVE-2022-34472:PAC ファイルが利用できないために OCSP リクエストがブロックされる脆弱性を修正しました。
    - CVE-2022-34478:ユーザーがプロンプトを受け入れた場合にMicrosoftプロトコルが攻撃される可能性がある脆弱性を修正しました。
    - CVE-2022-2200:プロトタイプ汚染の一部として望ましくない属性が設定される可能性がある脆弱性を修正しました。
    - CVE-2022-34480:lg_init の初期化されていないポインターの解放を修正しました。
    - CVE-2022-34477:MediaError メッセージプロパティがクロスオリジン同一サイトページで情報を漏洩する脆弱性を修正しました。
    - CVE-2022-34475:HTML サニタイザーが同一生成元スクリプトを介して use タグを介してバイパスされる可能性がある脆弱性を修正しました。
    - CVE-2022-34473:HTML サニタイザーが use タグによりバイパスされる可能性がある脆弱性を修正しました。
    - CVE-2022-34484:メモリの安全性に関するバグを修正しました。
    - CVE-2022-34485:メモリの安全性に関するバグを修正しました。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの macOS または Mac OS X ホストにインストールされている Firefox のバージョンは、103.0より前のものです。したがって、mfsa2022-28 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Mozilla 開発者および Mozilla Fuzzing Team は、Firefox 102 に存在するメモリ安全性バグを報告しました。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、十分な労力をもってすればこれらの一部を悪用し、任意のコードを実行することが可能であると推測しています。 (CVE-2022-2505、CVE-2022-36320)

  - オーバーフローおよび変換のための CSS プロパティを組み合わせる際、マウスカーソルが表示とは異なる座標を操作する可能性があります。(CVE-2022-36319)

  - 過剰に長い URL のウェブサイトにアクセスすると、ユーザーの操作がハングアップし始めます。セッションの回復により、これが永続的なサービス拒否に至る可能性があります。このバグは Firefox for Android にのみ影響します。
    その他のオペレーティングシステムは影響を受けません。(CVE-2022-36317)

  - ソーステキストとして「chrome://」URL のディレクトリリストにアクセスすると、いくつかのパラメーターが反映されていました。
    (CVE-2022-36318)

  - ローカルシステムから Windows ショートカットを開くと、攻撃者がリモートパスを供給し、オペレーティングシステムからの予期しないネットワークリクエストが発生する可能性があります。このバグの影響を受けるのは、Windows版のFirefoxのみです。その他のオペレーティングシステムは影響を受けません。(CVE-2022-36314)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの macOS または Mac OS X のホストにインストールされている Thunderbird のバージョンは、102.1 より前です。したがって、mfsa2022-32 アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Mozilla 開発者および Mozilla Fuzzing Team は、Thunderbird 102 に存在するメモリ安全性バグを報告しました。
    これらのバグの一部にはメモリ破損の証拠が示されており、当社では、十分な労力をもってすればこれらの一部を悪用し、任意のコードを実行することが可能であると推測しています。(CVE-2022-2505)

  - オーバーフローおよび変換のための CSS プロパティを組み合わせる際、マウスカーソルが表示とは異なる座標を操作する可能性があります。(CVE-2022-36319)

  - ソーステキストとして「chrome://」URL のディレクトリリストにアクセスすると、いくつかのパラメーターが反映されていました。
    (CVE-2022-36318)

  - ローカルシステムから Windows ショートカットを開くと、攻撃者がリモートパスを供給し、オペレーティングシステムからの予期しないネットワークリクエストが発生する可能性があります。このバグの影響を受けるのは、Windows 版の Thunderbird のみです。その他のオペレーティングシステムは影響を受けません。(CVE-2022-36314)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Windows ホストにインストールされている Firefox ESR のバージョンは、102.1より前のものです。したがって、mfsa2022-30 アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Mozilla 開発者および Mozilla Fuzzing Team は、Firefox 102 に存在するメモリ安全性バグを報告しました。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、十分な労力をもってすればこれらの一部を悪用し、任意のコードを実行することが可能であると推測しています。(CVE-2022-2505)

  - オーバーフローおよび変換のための CSS プロパティを組み合わせる際、マウスカーソルが表示とは異なる座標を操作する可能性があります。(CVE-2022-36319)

  - ソーステキストとして「chrome://」URL のディレクトリリストにアクセスすると、いくつかのパラメーターが反映されていました。
    (CVE-2022-36318)

  - ローカルシステムから Windows ショートカットを開くと、攻撃者がリモートパスを供給し、オペレーティングシステムからの予期しないネットワークリクエストが発生する可能性があります。このバグの影響を受けるのは、Windows版のFirefoxのみです。その他のオペレーティングシステムは影響を受けません。(CVE-2022-36314)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの macOS または Mac OS X ホストにインストールされている Firefox ESR のバージョンは、102.1 より前です。したがって、mfsa2022-30 アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Mozilla 開発者および Mozilla Fuzzing Team は、Firefox 102 に存在するメモリ安全性バグを報告しました。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、十分な労力をもってすればこれらの一部を悪用し、任意のコードを実行することが可能であると推測しています。(CVE-2022-2505)

  - オーバーフローおよび変換のための CSS プロパティを組み合わせる際、マウスカーソルが表示とは異なる座標を操作する可能性があります。(CVE-2022-36319)

  - ソーステキストとして「chrome://」URL のディレクトリリストにアクセスすると、いくつかのパラメーターが反映されていました。
    (CVE-2022-36318)

  - ローカルシステムから Windows ショートカットを開くと、攻撃者がリモートパスを供給し、オペレーティングシステムからの予期しないネットワークリクエストが発生する可能性があります。このバグの影響を受けるのは、Windows 版の Firefox のみです。その他のオペレーティングシステムは影響を受けません。(CVE-2022-36314)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
202228	Amazon Linux 2 : firefox (ALASFIREFOX-2024-026)	Nessus	Amazon Linux Local Security Checks	2024/7/11	2025/4/7	critical
165233	SUSE SLED15: MozillaThunderbird / MozillaThunderbird-translations-common / etc (SUSE-SU-2022:3281-1)	Nessus	SuSE Local Security Checks	2022/9/17	2026/6/25	critical
163497	Mozilla Firefox < 103.0	Nessus	Windows	2022/7/27	2026/6/23	critical
163661	Mozilla Thunderbird < 102.1	Nessus	Windows	2022/8/1	2025/11/18	high
165192	SUSE SLES15:MozillaFirefox / MozillaFirefox-branding-SLE / MozillaFirefox-devel / など(SUSE-SU-2022:3272-1)	Nessus	SuSE Local Security Checks	2022/9/15	2026/6/25	critical
165198	SUSE SLES12:MozillaFirefox / MozillaFirefox-branding-SLE / MozillaFirefox-devel / など(SUSE-SU-2022:3273-1)	Nessus	SuSE Local Security Checks	2022/9/15	2026/6/25	critical
165487	SUSE SLED15:MozillaFirefox/MozillaFirefox-branding-SLE/etc(SUSE-SU-2022:3396-1)	Nessus	SuSE Local Security Checks	2022/9/27	2026/6/25	critical
163496	Mozilla Firefox < 103.0	Nessus	MacOS X Local Security Checks	2022/7/27	2025/11/18	critical
163660	Mozilla Thunderbird < 102.1	Nessus	MacOS X Local Security Checks	2022/8/1	2025/11/18	high
163662	Mozilla Firefox ESR < 102.1	Nessus	Windows	2022/8/1	2025/11/18	high
163663	Mozilla Firefox ESR < 102.1	Nessus	MacOS X Local Security Checks	2022/8/1	2025/11/18	high

検出

プラグインの検索

critical

critical

critical

high

critical

critical

critical

critical

high

high

high