リモートホストにインストールされている firefox のバージョンは、115.12.0-1 より前です。したがって、ALAS2FIREFOX-2024-026 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    予約済み注: https://www.mozilla.org/en-US/security/advisories/mfsa2022-30/#CVE-2022-2205 (CVE-2022-2205)

    攻撃者が、resource: など内部 URI を介してアクセス可能なスタイルシートに CSS を注入し、そうすることでページのコンテンツセキュリティポリシーを回避していた可能性があります。この脆弱性は、Firefox ESR < 91.11、Thunderbird < 102、Thunderbird < 91.11、Firefox < 101 に影響します。(CVE-2022-31744)

    Mozilla に欠陥が見つかりました。Mozilla Foundation のセキュリティアドバイザリでは、ローカルファイルシステムから Windows のショートカットを開く際の問題について説明しています。攻撃者がリモートパスを供給し、オペレーティングシステムからの予期しないネットワークリクエストが発生する可能性がありました。(CVE-2022-36314)

    過剰に長い URL のウェブサイトにアクセスすると、ユーザーの操作がハングアップし始めます。セッションの回復により、これが永続的なサービス拒否に至る可能性があります。<br>*このバグは Android 版 Firefox にのみ影響します。
    その他のオペレーティングシステムは影響を受けません。* この脆弱性の影響を受けるのは、Firefox < 103 です。(CVE-2022-36317)

    予約済み注: https://www.mozilla.org/en-US/security/advisories/mfsa2022-30/#CVE-2022-36320 (CVE-2022-36320)

    ガベージコレクションが適切なタイミングでトリガーされた場合、オブジェクトの移植中にメモリ解放後使用 (Use-After-Free) が発生する可能性がありました。この脆弱性の影響を受けるのは、Firefox < 127 および Firefox ESR < 115.12 です。(CVE-2024-5688)

    ブラウザを「X-Frame-Options」ヘッダーで騙すことで、サンドボックス化された iframe がボタンを表示する可能性がありました。このボタンがユーザーによってクリックされると、制限をバイパスして新しいウィンドウを開くことができました。この脆弱性の影響を受けるのは、Firefox < 127 および Firefox ESR < 115.12 です。(CVE-2024-5691)

    オフスクリーン Canvas が、クロスオリジン汚染を適切に追跡しませんでした。これは、同一オリジンポリシーに違反して別のサイトから画像データにアクセスするために使用される可能性があります。この脆弱性の影響を受けるのは、Firefox < 127、Firefox ESR < 115.12、Thunderbird < 115.12 です。(CVE-2024-5693)

    Firefox 126、Firefox ESR 115.11、および Thunderbird 115.11 に存在するメモリの安全性のバグ。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、手間をかけることにより、これらの一部が悪用され、任意のコードが実行される可能性があると推測しています。この脆弱性の影響を受けるのは、Firefox < 127 および Firefox ESR < 115.12 です。
    (CVE-2024-5700)

    ネットワークスタックのメモリ破損により、悪用可能なクラッシュを引き起こす可能性がありました。この脆弱性の影響を受けるのは、Firefox < 125 および Firefox ESR < 115.12 です。(CVE-2024-5702)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの macOS または Mac OS X ホストにインストールされている Firefox のバージョンは、103.0より前のものです。したがって、mfsa2022-28 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - オーバーフローおよび変換のための CSS プロパティを組み合わせる際、マウスカーソルが表示とは異なる座標を操作する可能性があります。(CVE-2022-36319)

  - 過剰に長い URL のウェブサイトにアクセスすると、ユーザーの操作がハングアップし始めます。セッションの回復により、これが永続的なサービス拒否に至る可能性があります。このバグは Firefox for Android にのみ影響します。
    その他のオペレーティングシステムは影響を受けません。(CVE-2022-36317)

  - ソーステキストのような「chrome: //」の URL のディレクトリリストにアクセスすると、パラメーターの一部が折り返されました。
    (CVE-2022-36318)

  - ローカルシステムから Windows ショートカットを開くと、攻撃者がリモートパスを供給し、オペレーティングシステムからの予期しないネットワークリクエストが発生する可能性があります。このバグの影響を受けるのは、Windows版のFirefoxのみです。その他のオペレーティングシステムは影響を受けません。(CVE-2022-36314)

  - Subresource Integrity のスクリプトを読み込む際に、インジェクションが可能な攻撃者は、不正な、異なる整合性メタデータを伴う、以前のキャッシュエントリーをトリガーする可能性があります。(CVE-2022-36315)

  - Performance API を使用する際、攻撃者は PerformanceEntries 間のわずかな違いに気が付き、ターゲットの URL がリダイレクトの影響を受けたかどうかを知ることが可能です。(CVE-2022-36316)

  - Mozilla 開発者および Mozilla Fuzzing Team は、Firefox 102 に存在するメモリ安全性バグを報告しました。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、十分な労力をもってすればこれらの一部を悪用し、任意のコードを実行することが可能であると推測しています。 (CVE-2022-2505、CVE-2022-36320)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Windows ホストにインストールされている Firefox のバージョンは、103.0より前のものです。したがって、mfsa2022-28 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - オーバーフローおよび変換のための CSS プロパティを組み合わせる際、マウスカーソルが表示とは異なる座標を操作する可能性があります。(CVE-2022-36319)

  - 過剰に長い URL のウェブサイトにアクセスすると、ユーザーの操作がハングアップし始めます。セッションの回復により、これが永続的なサービス拒否に至る可能性があります。このバグは Firefox for Android にのみ影響します。
    その他のオペレーティングシステムは影響を受けません。(CVE-2022-36317)

  - ソーステキストのような「chrome: //」の URL のディレクトリリストにアクセスすると、パラメーターの一部が折り返されました。
    (CVE-2022-36318)

  - ローカルシステムから Windows ショートカットを開くと、攻撃者がリモートパスを供給し、オペレーティングシステムからの予期しないネットワークリクエストが発生する可能性があります。このバグの影響を受けるのは、Windows版のFirefoxのみです。その他のオペレーティングシステムは影響を受けません。(CVE-2022-36314)

  - Subresource Integrity のスクリプトを読み込む際に、インジェクションが可能な攻撃者は、不正な、異なる整合性メタデータを伴う、以前のキャッシュエントリをトリガーする可能性があります。(CVE-2022-36315)

  - Performance API を使用する際、攻撃者は PerformanceEntries 間のわずかな違いに気が付き、ターゲットの URL がリダイレクトの影響を受けたかどうかを知ることが可能です。(CVE-2022-36316)

  - Mozilla 開発者および Mozilla Fuzzing Team は、Firefox 102 に存在するメモリ安全性バグを報告しました。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、十分な労力をもってすればこれらの一部を悪用し、任意のコードを実行することが可能であると推測しています。 (CVE-2022-2505、CVE-2022-36320)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
202228	Amazon Linux 2 : firefox (ALASFIREFOX-2024-026)	Nessus	Amazon Linux Local Security Checks	2024/7/11	2024/7/11	critical
163496	Mozilla Firefox < 103.0	Nessus	MacOS X Local Security Checks	2022/7/27	2023/1/6	critical
163497	Mozilla Firefox < 103.0	Nessus	Windows	2022/7/27	2023/1/6	critical

検出

プラグインの検索

critical

critical

critical