Mozilla Firefox 47 へのこの更新は、次の問題を修正します（boo#983549）：

セキュリティ修正：

- CVE-2016-2815/CVE-2016-2818：さまざまなメモリの安全性に関する問題（boo#983638 MFSA 2016-49）

- CVE-2016-2819：バッファオーバーフローによる HTML5 フラグメントの解析（boo#983655 MFSA 2016-50）

- CVE-2016-2821：use-after-free による contenteditable ドキュメントからのテーブルの削除（boo#983653 MFSA 2016-51）

- CVE-2016-2822：SELECT 要素によるアドレスバースプーフィング（boo#983652 MFSA 2016-52）

- CVE-2016-2824：WebGL シェーダーによる領域外の書き込み（boo#983651 MFSA 2016-53）

- CVE-2016-2825：データ URI を通じた location.host の設定による部分的な同一生成元ポリシー（boo#983649 MFSA 2016-54）

- CVE-2016-2828：リサイクルプール破壊後にテクスチャが WebGL 操作で使用される際での use-after-free（boo#983646 MFSA 2016-56）

- CVE-2016-2829：パーミッション通知に表示される不適切なアイコン（boo#983644 MFSA 2016-57）

- CVE-2016-2831：ユーザー権限のない全画面表示と恒久的なポインターロックの入力（boo#983643 MFSA 2016-58）

- CVE-2016-2832：CSS pseudo-classes を通じた無効なプラグインの情報漏洩（boo#983632 MFSA 2016-59）

- CVE-2016-2833：Java アプレットは、CSP 保護をバイパスします（boo#983640 MFSA 2016-60）

Mozilla NSS が 3.23 に更新され、次の脆弱性が対処されました：

- CVE-2016-2834：メモリの安全性に関するバグ（boo#983639 MFSA-2016-61）

以下の非セキュリティ変更も含まれています：

- 高速なマシンを持つユーザーに対して、VP9 動画コーデックを有効にします

- 組み込み YouTube 動画は、Flash がインストールされている場合 HTML5 動画で再生されます

- サイドバーのお使いのスマートフォンまたは別のコンピューターから、オープンタブを表示および検索します

- https リソースに対する「戻る/前へ」ナビゲーションでのキャッシュなしを許可します

次のパッケージ変更が含まれています：

- boo#981695：構成オプションをクリーンアップします（特に、FF からの GStreamer サポートを削除します）

- boo#980384：x86_64 上の PIE および full relro のビルドを有効にします

次の新しい機能が提供されています：

- ChaCha20/Poly1305 暗号および TLS 暗号化パッケージがサポートされています

- TLS ハンドシェイクで送信された TLS 拡張リストの順番が変更され、サーバーに対する Extended Master Secret の互換性が向上しました

リモート Windows ホストにインストールされている Firefox ESR バージョンは、45.2 より前の 45.x です。したがって、以下の複数の脆弱性による影響を受けます。

  - Multiple memory corruption issues exist that allow an unauthenticated, remote attacker to execute arbitrary code. (CVE-2016-2818)

  - （<svg> ノードなどの下の）外部コンテキストで HTML5 フラグメントを処理する際に引き起こされる、オーバーフローの状態が存在します。認証されていないリモートの攻撃者がこれを悪用し、ヒープベースのバッファオーバーフローを引き起こし、任意のコードを実行する可能性があります。
    (CVE-2016-2819)

  - 「contenteditable」モードで DOM テーブル要素を削除する際に引き起こされる、use-after-free エラーが存在します。
    認証されていないリモートの攻撃者がこれを悪用し、すでに解放されたメモリをデリファレンスして、任意のコードを実行する可能性があります。(CVE-2016-2821)

  - SELECT 要素を適切に処理していないため、スプーフィングの脆弱性が存在します。An unauthenticated, remote attacker can exploit this to spoof the contents of the address bar. (CVE-2016-2822)

  - WebGL シェーダー操作中での配列への書き込みの際に行われる不適切なサイズチェックにより、ANGLE グラフィックライブラリに、領域外書き込みのエラーが存在します。認証されていないリモート攻撃者がこの脆弱性を悪用し、任意のコードを実行する可能性があります。 (CVE-2016-2824)

  - MAR アーカイブからのファイルの不適切な抽出により、Windows アップデーターユーティリティに、権限昇格の脆弱性が存在します。A local attacker can exploit this to replace the extracted files, allowing the attacker to gain elevated privileges. (CVE-2016-2826)

  - WebGL コンテンツの処理中に使用されるテクスチャのリサイクルプールの破壊時に引き起こされる、use-after-free エラーが存在します。認証されていないリモートの攻撃者がこれを悪用し、すでに解放されたメモリをデリファレンスして、任意のコードを実行する可能性があります。
    (CVE-2016-2828)

  - ペアのフルスクリーンとポインターロックリクエストをウィンドウの終了と組み合わせて処理するときに引き起こされる欠陥が存在します。認証されていないリモートの攻撃者がこれを悪用し、権限のないポインターロックを作成し、サービス拒否状態を引き起こす可能性があります。
    Additionally, an attacker can exploit this to conduct spoofing and clickjacking attacks. (CVE-2016-2831)

The version of Firefox installed on the remote Windows host is prior to 47. したがって、以下の複数の脆弱性による影響を受けます。

  - Multiple memory corruption issues exist that allow an unauthenticated, remote attacker to execute arbitrary code. (CVE-2016-2815, CVE-2016-2818)

  - （<svg> ノードなどの下の）外部コンテキストで HTML5 フラグメントを処理する際に引き起こされる、オーバーフローの状態が存在します。認証されていないリモートの攻撃者がこれを悪用し、ヒープベースのバッファオーバーフローを引き起こし、任意のコードを実行する可能性があります。
    (CVE-2016-2819)

  - 「contenteditable」モードで DOM テーブル要素を削除する際に引き起こされる、use-after-free エラーが存在します。
    認証されていないリモートの攻撃者がこれを悪用し、すでに解放されたメモリをデリファレンスして、任意のコードを実行する可能性があります。(CVE-2016-2821)

  - SELECT 要素を適切に処理していないため、スプーフィングの脆弱性が存在します。An unauthenticated, remote attacker can exploit this to spoof the contents of the address bar. (CVE-2016-2822)

  - WebGL シェーダー操作中での配列への書き込みの際に行われる不適切なサイズチェックにより、ANGLE グラフィックライブラリに、領域外書き込みのエラーが存在します。認証されていないリモート攻撃者がこの脆弱性を悪用し、任意のコードを実行する可能性があります。 (CVE-2016-2824)

  - A same-origin bypass vulnerability exists that is triggered when handling location.host property values set after the creation of invalid 'data: ' URIs. 認証されていないリモートの攻撃者がこれを悪用して、同一生成元ポリシー保護を一部バイパスする可能性があります。
    (CVE-2016-2825)

  - MAR アーカイブからのファイルの不適切な抽出により、Windows アップデーターユーティリティに、権限昇格の脆弱性が存在します。A local attacker can exploit this to replace the extracted files, allowing the attacker to gain elevated privileges. (CVE-2016-2826)

  - WebGL コンテンツの処理中に使用されるテクスチャのリサイクルプールの破壊時に引き起こされる、use-after-free エラーが存在します。認証されていないリモートの攻撃者がこれを悪用し、すでに解放されたメモリをデリファレンスして、任意のコードを実行する可能性があります。
    (CVE-2016-2828)

  - browser/modules/webrtcUI.jsm に、短期間で大量のパーミッションリクエストを処理する場合に発生する欠陥が存在します。認証されていないリモートの攻撃者がこれを悪用して、指定されたパーミッションリクエストに不適切なアイコンが表示されるようにすることで、ユーザーに意図しないパーミッションリクエストを承認させる可能性があります。
    (CVE-2016-2829)

  - ペアのフルスクリーンとポインターロックリクエストをウィンドウの終了と組み合わせて処理するときに引き起こされる欠陥が存在します。認証されていないリモートの攻撃者がこれを悪用し、権限のないポインターロックを作成し、サービス拒否状態を引き起こす可能性があります。
    Additionally, an attacker can exploit this to conduct spoofing and clickjacking attacks. (CVE-2016-2831)

  - CSS pseudo-classes を処理する場合に発生する、情報漏洩の脆弱性が存在します。An unauthenticated, remote attacker can exploit this disclose a list of installed plugins. (CVE-2016-2832)

  - 特別に細工されたクロスドメイン Java アプレットを処理する場合に発生する、Content Security Policy（CSP）バイパスが存在します。An unauthenticated, remote attacker can exploit this to bypass the CSP and conduct cross-site scripting attacks. (CVE-2016-2833)

  - Multiple unspecified flaws exist in the Mozilla Network Security Services (NSS) component that allow an attacker to have an unspecified impact. (CVE-2016-2834)

Mozilla Firefox 47 へのこの更新は、次の問題を修正します（boo#983549）：

セキュリティ修正：

- CVE-2016-2815/CVE-2016-2818：さまざまなメモリの安全性に関する問題（boo#983638 MFSA 2016-49）

- CVE-2016-2819：バッファオーバーフローによる HTML5 フラグメントの解析（boo#983655 MFSA 2016-50）

- CVE-2016-2821：use-after-free による contenteditable ドキュメントからのテーブルの削除（boo#983653 MFSA 2016-51）

- CVE-2016-2822：SELECT 要素によるアドレスバースプーフィング（boo#983652 MFSA 2016-52）

- CVE-2016-2824：WebGL シェーダーによる領域外の書き込み（boo#983651 MFSA 2016-53）

- CVE-2016-2825：データ URI を通じた location.host の設定による部分的な同一生成元ポリシー（boo#983649 MFSA 2016-54）

- CVE-2016-2828：リサイクルプール破壊後にテクスチャが WebGL 操作で使用される際での use-after-free（boo#983646 MFSA 2016-56）

- CVE-2016-2829：パーミッション通知に表示される不適切なアイコン（boo#983644 MFSA 2016-57）

- CVE-2016-2831：ユーザー権限のない全画面表示と恒久的なポインターロックの入力（boo#983643 MFSA 2016-58）

- CVE-2016-2832：CSS pseudo-classes を通じた無効なプラグインの情報漏洩（boo#983632 MFSA 2016-59）

- CVE-2016-2833：Java アプレットは、CSP 保護をバイパスします（boo#983640 MFSA 2016-60）

Mozilla NSS が 3.23 に更新され、次の脆弱性が対処されました：

- CVE-2016-2834：メモリ安全性のバグ（boo#983639 MFSA-2016-61）以下のセキュリティ以外の変更が含まれます：

- 高速なマシンを持つユーザーに対して、VP9 動画コーデックを有効にします

- 組み込み YouTube 動画は、Flash がインストールされている場合 HTML5 動画で再生されます

- サイドバーのお使いのスマートフォンまたは別のコンピューターから、オープンタブを表示および検索します

- https リソースに対する「戻る/前へ」ナビゲーションでのキャッシュなしを許可します

次のパッケージ変更が含まれています：

- boo#981695：構成オプションをクリーンアップします（特に、FF からの GStreamer サポートを削除します）

- boo#980384：x86_64 上の PIE および full relro のビルドを有効にします

次の新しい機能が提供されています：

- ChaCha20/Poly1305 暗号および TLS 暗号化パッケージがサポートされています

- TLS ハンドシェイクで送信された TLS 拡張リストの順番が変更され、サーバーに対する Extended Master Secret の互換性が向上しました

MozillaFirefox、MozillaFirefox-branding-SLE、mozilla-nss、および mozilla-nspr は 9 つのセキュリティの問題を修正するために更新されました。

Mozilla Firefox はバージョン 45.2.0 ESR に、mozilla-nss はバージョン 3.21.1 に更新されました。

これらのセキュリティの問題が修正されました：

- CVE-2016-2834：NSS でのメモリ安全性のバグ（MFSA 2016-61）（bsc#983639）。

- CVE-2016-2824：WebGL シェーダーによる領域外の書き込み（MFSA 2016-53）（bsc#983651）。

- CVE-2016-2822：SELECT 要素によるアドレスバースプーフィング（MFSA 2016-52）（bsc#983652）。

- CVE-2016-2821：use-after-free による contenteditable ドキュメントからのテーブルの削除（MFSA 2016-51）（bsc#983653）。

- CVE-2016-2819：バッファオーバーフローによる HTML5 フラグメントの解析（MFSA 2016-50）（bsc#983655）。

- CVE-2016-2828：リサイクルプール破壊後にテクスチャが WebGL 操作で使用される際での use-after-free（MFSA 2016-56）（bsc#983646）。

- CVE-2016-2831：ユーザー権限のない全画面表示と恒久的なポインターロックの入力（MFSA 2016-58）（bsc#983643）。

- CVE-2016-2815、CVE-2016-2818：さまざまなメモリの安全性に関する問題（MFSA 2016-49）（bsc#983638）

以下のセキュリティ以外の問題が、修正されました。

- bsc#982366：接続における不明の SSL プロトコルエラー

- aarch64 でのクラッシュを修正します

- 実行時にページサイズを確定します（bsc#984006）

- aarch64 をセーフモードで動作できるようにします（bsc#985659）

- メインフレームでのクラッシュを修正します

- 現時点では、すべての拡張は addons.mozilla.org により署名する必要があります。詳細については、README.SUSE を参照してください。

注意：Tenable Network Security は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

MozillaFirefox、MozillaFirefox-branding-SLE、および mozilla-nss は 9 つのセキュリティ問題を修正するために更新されました。Mozilla Firefox はバージョン 45.2.0 ESR に、mozilla-nss はバージョン 3.21.1 に更新されました。これらのセキュリティの問題が修正されました：

- CVE-2016-2834：NSS でのメモリ安全性のバグ（MFSA 2016-61）（bsc#983639）。

- CVE-2016-2824：WebGL シェーダーによる領域外の書き込み（MFSA 2016-53）（bsc#983651）。

- CVE-2016-2822：SELECT 要素によるアドレスバースプーフィング（MFSA 2016-52）（bsc#983652）。

- CVE-2016-2821：use-after-free による contenteditable ドキュメントからのテーブルの削除（MFSA 2016-51）（bsc#983653）。

- CVE-2016-2819：バッファオーバーフローによる HTML5 フラグメントの解析（MFSA 2016-50）（bsc#983655）。

- CVE-2016-2828：リサイクルプール破壊後にテクスチャが WebGL 操作で使用される際での use-after-free（MFSA 2016-56）（bsc#983646）。

- CVE-2016-2831：ユーザー権限のない全画面表示と恒久的なポインターロックの入力（MFSA 2016-58）（bsc#983643）。

- CVE-2016-2815、CVE-2016-2818：さまざまなメモリ安全性の問題（MFSA 2016-49）（bsc#983638）セキュリティ以外のこれらの問題は修正されました：

- aarch64 でのクラッシュを修正します

- 実行時にページサイズを確定します（bsc#984006）

- aarch64 をセーフモードで動作できるようにします（bsc#985659）

- メインフレームのクラッシュを修正します 現時点では、すべての拡張は addons.mozilla.org により署名する必要があります。詳細については、README.SUSE を参照してください。

注意：Tenable Network Security は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

MozillaFirefox、MozillaFirefox-branding-SLE、mozilla-nspr、および mozilla-nss は 9 つのセキュリティの問題を修正するために更新されました。Mozilla Firefox はバージョン 45.3.0 ESR に、mozilla-nss はバージョン 3.21.1 に、mozilla-nspr はバージョン 4.12 に更新されました。これらのセキュリティの問題は、45.3.0ESR で修正されました：

- CVE-2016-2835/CVE-2016-2836：様々なメモリ安全性の問題（rv:48.0 / rv:45.3）（MFSA 2016-62）

- CVE-2016-2830：ページを閉じた時に、Favicon ネットワーク接続が持続する可能性があります（MFSA 2016-63）

- CVE-2016-2838：双方向コンテンツによる SVG のレンダリング時のバッファオーバーフロー（MFSA 2016-64）

- CVE-2016-2839：FFmpeg 0.10 でのメモリ割り当ての問題による、Cairo レンダリングのクラッシュ（MFSA 2016-65）

- CVE-2016-5252：2D グラフィックスレンダリング中でのスタックアンダーフロー（MFSA 2016-67）

- CVE-2016-5254：Alt キーとトップレベルメニュー使用時の use-after-free（MFSA 2016-70）

- CVE-2016-5258：WebRTC セッションシャットダウン中の　DTLS における use-after-free（MFSA 2016-72）

- CVE-2016-5259：ネスト化した同期イベントでの Service Worker における use-after-free（MFSA 2016-73）

- CVE-2016-5262：marquee タグのスクリプトが、サンドボックス化した iframe で実行される可能性があります（MFSA 2016-76）

- CVE-2016-2837：ビデオ再生中の ClearKey Content Decryption Module（CDM）におけるバッファオーバーフロー（MFSA 2016-77）

- CVE-2016-5263：ディスプレイ変換における型の取り違え（Type Confusion）（MFSA 2016-78）

- CVE-2016-5264：SVG 効果を適用する際の use-after-free（MFSA 2016-79）

- CVE-2016-5265：ローカル HTML ファイルと保存されたショートカットファイルを使用する同一生成元ポリシー違反（MFSA 2016-80）

- CVE-2016-6354：潜在的なバッファオーバーランを修正します（bsc#990856）45.2.0.ESR でセキュリティの問題が修正されました：

- CVE-2016-2834：NSS でのメモリ安全性のバグ（MFSA 2016-61）（bsc#983639）。

- CVE-2016-2824：WebGL シェーダーによる領域外の書き込み（MFSA 2016-53）（bsc#983651）。

- CVE-2016-2822：SELECT 要素によるアドレスバースプーフィング（MFSA 2016-52）（bsc#983652）。

- CVE-2016-2821：use-after-free による contenteditable ドキュメントからのテーブルの削除（MFSA 2016-51）（bsc#983653）。

- CVE-2016-2819：バッファオーバーフローによる HTML5 フラグメントの解析（MFSA 2016-50）（bsc#983655）。

- CVE-2016-2828：リサイクルプール破壊後にテクスチャが WebGL 操作で使用される際での use-after-free（MFSA 2016-56）（bsc#983646）。

- CVE-2016-2831：ユーザー権限のない全画面表示と恒久的なポインターロックの入力（MFSA 2016-58）（bsc#983643）。

- CVE-2016-2815、CVE-2016-2818：さまざまなメモリ安全性の問題（MFSA 2016-49）（bsc#983638）セキュリティ以外のこれらの問題は修正されました：

- aarch64 でのクラッシュを修正します

- 実行時にページサイズを確定します（bsc#984006）

- aarch64 をセーフモードで動作できるようにします（bsc#985659）

- メインフレームでのクラッシュを修正します

- 一時的に Firefox を明らかな競合状態のホットフィックスとして最初の CPU に結合します（bsc#989196、bsc#990628）現時点ではすべての拡張を addons.mozilla.org により署名する必要があります。
 詳細については、README.SUSE を参照してください。

注意：Tenable Network Security は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
91589	openSUSE セキュリティ更新：MozillaFirefox/mozilla-nss（openSUSE-2016-714）	Nessus	SuSE Local Security Checks	2016/6/14	2021/1/19	high
91546	Firefox ESR 45.x < 45.2 の複数の脆弱性	Nessus	Windows	2016/6/9	2019/11/19	high
91547	Firefox < 47 Multiple Vulnerabilities	Nessus	Windows	2016/6/9	2019/11/19	high
91586	openSUSE セキュリティ更新：MozillaFirefox/mozilla-nss（openSUSE-2016-704）	Nessus	SuSE Local Security Checks	2016/6/14	2021/1/19	high
93166	SUSE SLED12 / SLES12 セキュリティ更新：MozillaFirefox、MozillaFirefox-branding-SLE、mozilla-nspr、mozilla-nss（SUSE-SU-2016:1691-1）	Nessus	SuSE Local Security Checks	2016/8/29	2021/1/6	high
93182	SUSE SLES11 セキュリティ更新：MozillaFirefox、MozillaFirefox-branding-SLE / mozilla-nss（SUSE-SU-2016:1799-1）	Nessus	SuSE Local Security Checks	2016/8/29	2021/1/19	high
93288	SUSE SLES11 セキュリティ更新：MozillaFirefox、MozillaFirefox-branding-SLED、mozilla-nspr / mozilla-nss（SUSE-SU-2016:2061-1）	Nessus	SuSE Local Security Checks	2016/9/2	2021/1/19	critical

検出

プラグインの検索

high

high

high

high

high

high

critical