このMozillaFirefoxのバージョン78.0.1 ESRへの更新では、次の問題を修正します：

修正されたセキュリティ問題：

CVE-2020-12415：URLエンコードされた文字の処理が原因のAppCacheマニフェストポイズニング（bsc#1173576）。

CVE-2020-12416：WebRTC VideoBroadcaster内のメモリ解放後使用（bsc#1173576）。

CVE-2020-12417：ARM64でのValueTagsの符号拡張欠落に起因するメモリ破損（bsc#1173576）。

CVE-2020-12418：操作されたURLオブジェクトによる情報漏洩（bsc#1173576）。

CVE-2020-12419：nsGlobalWindowInnerのメモリ解放後使用（Use After Free）（bsc#1173576）。

CVE-2020-12420：STUNサーバーに接続しようとする際のメモリ解放後使用（Use After Free）（bsc#1173576）。

CVE-2020-12402：サイドチャネル攻撃に対して脆弱なRSAキー生成（bsc#1173576）。

CVE-2020-12421：アドオンの更新は、ソフトウェアの更新と同じ証明書信頼ルールを尊重していませんでした（bsc#1173576）。

CVE-2020-12422：nsJPEGEncoder：：emptyOutputBufferにおける整数オーバーフロー（bsc#1173576）。

CVE-2020-12423：ライブラリでの%PATH%の検索が原因のDLLハイジャック（bsc#1173576）。

CVE-2020-12424：WebRTC許可プロンプトが侵害されたコンテンツプロセスによってバイパスされた可能性がある（bsc#1173576）。

CVE-2020-12425：Date.parse（）における領域外読み取り（bsc#1173576）。

CVE-2020-12426：Firefox 78で修正されたメモリ安全性に関するバグ（bsc#1173576）。

FIPS：MozillaFirefox：/proc/sys/crypto/fips_enabledを許可します（bsc#1167231）。

修正された非セキュリティ問題：

freetype6との相互作用を修正しました（bsc#1173613）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

リモートのWindowsホストにインストールされているFirefoxのバージョンは、78.0より前のものです。したがって、mfsa2020-24のアドバイザリに記載されている複数の脆弱性の影響を受けます。Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのWindowsホストにインストールされているThunderbirdは、78.0より前のバージョンです。したがって、mfsa2020-29アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - %2FがマニフェストURLに存在する場合、FirefoxのAppCacheの挙動が混乱し、サブディレクトリからマニフェストを提供する可能性がありました。これにより、appcacheがトップレベルのディレクトリに対するリクエストのサービスに使用される可能性があります。この脆弱性の影響を受けるのは、Firefox < 78です。(CVE-2020-12415)

  - VideoStreamEncoderが、VideoBroadcasterとの競合状態で解放された可能性があります: : AddOrUpdateSinkにより、メモリ解放後使用(Use After Free)、メモリ破損、悪用可能なクラッシュを引き起こす可能性があります。この脆弱性の影響を受けるのは、Firefox < 78です。(CVE-2020-12416)

  - JavaScript ObjectのValueTagに関する混乱により、オブジェクトがタイプバリアを通過し、メモリ破損および悪用可能なクラッシュを引き起こす可能性があります。 *注意: この問題はARM64プラットフォームのFirefoxにのみ影響します。* この脆弱性の影響を受けるのは、Firefox ESR < 68.10、Firefox < 78、Thunderbird < 68.10.0です。
    (CVE-2020-12417)

  - URLオブジェクトの個々の部分を操作することで、領域外読み取りが発生し、プロセスメモリが悪意のあるJavaScriptに漏洩した可能性があります。この脆弱性の影響を受けるのは、Firefox ESR < 68.10、Firefox < 78、Thunderbird < 68.10.0です。
    (CVE-2020-12418)

  - 親プロセスのウィンドウフラッシュ中に発生するコールバックを処理する際に、関連するウィンドウが機能しなくなる可能性があります。メモリ解放後使用（Use After Free）状態を引き起こします。これにより、メモリ破損と悪用可能なクラッシュを引き起こす可能性がありました。この脆弱性の影響を受けるのは、Firefox ESR < 68.10、Firefox < 78、Thunderbird < 68.10.0です。
    (CVE-2020-12419)

  - STUNサーバーへの接続を試行する際、競合状態によりポインターのメモリ解放後使用（Use After Free）が引き起こされ、メモリ破損と悪用可能なクラッシュが引き起こされる可能性があります。この脆弱性の影響を受けるのは、Firefox ESR < 68.10、Firefox < 78、Thunderbird < 68.10.0です。
    (CVE-2020-12420)

  - RSAキーの生成中、bignumの実装のために、大幅な入力依存のフローを伴う、さまざまなBinary Extended Euclidアルゴリズムが使用されました。これにより、攻撃者が、電磁気ベースのサイドチャネル攻撃を実行して、秘密の素数の回復につながるトレースを記録することができました。*注意: * 変更されていないFirefoxブラウザは、通常の操作ではRSAキーを生成しないため影響を受けませんが、その上に構築された製品は影響を受ける可能性があります。この脆弱性は、Firefox < 78に影響します。
    (CVE-2020-12402)

  - アドオンの更新を実行する際、（管理者が正当に追加したものであっても）rootビルトインルートで終了する証明書チェーンが拒否されました。これにより、ユーザーに通知されることなくサイレントにアドオンが古くなった可能性があります。この脆弱性の影響を受けるのは、Firefox ESR < 68.10、Firefox < 78、Thunderbird < 68.10.0です。(CVE-2020-12421)

  - 非標準の構成では、JavaScriptが作成したJPEG画像が内部変数のオーバーフローを引き起こし、領域外書き込み、メモリ破損、悪用可能なクラッシュを引き起こす可能性があります。この脆弱性の影響を受けるのは、Firefox < 78です。（CVE-2020-12422）

  - Windows DLLのwebauthn.dllがオペレーティングシステムから欠落しており、悪意のあるものがユーザーの%PATH%のフォルダに配置された場合、FirefoxがDLLをロードし、任意のコードの実行を引き起こした可能性があります。*注意: この問題の影響を受けるのは、Windowsオペレーティングシステムのみです。他のオペレーティングシステムは影響を受けません。* この脆弱性はFirefox < 78に影響します。（CVE-2020-12423）

  - WebRTCの権限プロンプトを構築する際に、URIがコンテンツプロセスから提供されていました。このURIは信頼されず、以前は許可されていた元のURIであった可能性があります。プロンプトをバイパスします。
    この脆弱性は、Firefox < 78に影響します。
    (CVE-2020-12424)

  - Date.parse()のハイフン文字の処理の混乱により、1バイトの領域外読み取りが発生し、情報漏洩が発生する可能性がありました。
    この脆弱性は、Firefox < 78に影響します。
    (CVE-2020-12425)

  Mozilla開発者およびコミュニティメンバーが、Firefox 77に存在するメモリ安全性のバグを報告しました。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、手間をかけることにより、これらの一部が悪用され、任意のコードが実行される可能性があると推測しています。この脆弱性の影響を受けるのは、Firefox < 78です。(CVE-2020-12426)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの SUSE Linux SLES11ホストには、SUSE-SU-2020:14421-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - RSAキーの生成中、bignumの実装のために、大幅な入力依存のフローを伴う、さまざまなBinary Extended Euclidアルゴリズムが使用されました。これにより、攻撃者が、電磁気ベースのサイドチャネル攻撃を実行して、秘密の素数の回復につながるトレースを記録することができました。
    *注意: * 変更されていないFirefoxブラウザは、通常の操作ではRSAキーを生成しないため影響を受けませんが、その上に構築された製品は影響を受ける可能性があります。この脆弱性の影響を受けるのは、Firefox < 78です。 (CVE-2020-12402 )

  - %2FがマニフェストURLに存在する場合、FirefoxのAppCacheの挙動が混乱し、サブディレクトリからマニフェストを提供する可能性がありました。これにより、appcacheがトップレベルのディレクトリに対するリクエストのサービスに使用される可能性があります。この脆弱性の影響を受けるのは、Firefox < 78です。(CVE-2020-12415)

  - VideoStreamEncoderが、VideoBroadcasterとの競合状態で解放された可能性があります: : AddOrUpdateSinkにより、メモリ解放後使用(Use After Free)、メモリ破損、悪用可能なクラッシュを引き起こす可能性があります。この脆弱性の影響を受けるのは、Firefox < 78です。(CVE-2020-12416)

  - JavaScript ObjectのValueTagに関する混乱により、オブジェクトがタイプバリアを通過し、メモリ破損および悪用可能なクラッシュを引き起こす可能性があります。 *注意: この問題はARM64プラットフォームのFirefoxにのみ影響します。* この脆弱性の影響を受けるのは、Firefox ESR < 68.10、Firefox < 78、Thunderbird < 68.10.0です。(CVE-2020-12417)

  - URLオブジェクトの個々の部分を操作することで、領域外読み取りが発生し、プロセスメモリが悪意のあるJavaScriptに漏洩した可能性があります。この脆弱性の影響を受けるのは、Firefox ESR < 68.10、Firefox < 78、Thunderbird < 68.10.0です。(CVE-2020-12418)

  - 親プロセスのウィンドウフラッシュ中に発生するコールバックを処理する際に、関連するウィンドウが機能しなくなる可能性があります。メモリ解放後使用(Use After Free)状態を引き起こします。これにより、メモリ破損と悪用可能なクラッシュを引き起こす可能性がありました。この脆弱性の影響を受けるのは、Firefox ESR < 68.10、Firefox < 78、Thunderbird < 68.10.0です。(CVE-2020-12419)

  - STUNサーバーへの接続を試行する際、競合状態によりポインターのメモリ解放後使用(Use After Free)が引き起こされ、メモリ破損と悪用可能なクラッシュが引き起こされる可能性があります。この脆弱性の影響を受けるのは、Firefox ESR < 68.10、Firefox < 78、Thunderbird < 68.10.0です。(CVE-2020-12420)

  - アドオンの更新を実行する際、(管理者が正当に追加したものであっても)rootビルトインルートで終了する証明書チェーンが拒否されました。これにより、ユーザーに通知されることなくサイレントにアドオンが古くなった可能性があります。この脆弱性の影響を受けるのは、Firefox ESR < 68.10、Firefox < 78、Thunderbird < 68.10.0です。(CVE-2020-12421)

  - 非標準の構成では、JavaScriptが作成したJPEG画像が内部変数のオーバーフローを引き起こし、領域外書き込み、メモリ破損、悪用可能なクラッシュを引き起こす可能性があります。
    この脆弱性の影響を受けるのは、Firefox < 78です。 (CVE-2020-12422 )

  - Windows DLL の webauthn.dll がオペレーティングシステムから欠落しており、悪意のあるものがユーザーの %PATH% のフォルダに配置された場合、Firefox が DLL をロードし、任意のコードの実行を引き起こした可能性があります。
    *注意: この問題の影響を受けるのは、Windowsオペレーティングシステムのみです。他のオペレーティングシステムは影響を受けません。* この脆弱性はFirefox < 78に影響します。(CVE-2020-12423)

  - WebRTCの権限プロンプトを構築する際に、URIがコンテンツプロセスから提供されていました。このURIは信頼されず、以前は許可されていた元のURIであった可能性があります。プロンプトをバイパスします。この脆弱性の影響を受けるのは、Firefox < 78です。 (CVE-2020-12424 )

  - Date.parse()のハイフン文字の処理の混乱により、1バイトの領域外読み取りが発生し、情報漏洩が発生する可能性がありました。この脆弱性は、Firefox < 78に影響します。
    (CVE-2020-12425)

  Mozilla開発者およびコミュニティメンバーが、Firefox 77に存在するメモリ安全性のバグを報告しました。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、手間をかけることにより、これらの一部が悪用され、任意のコードが実行される可能性があると推測しています。この脆弱性の影響を受けるのは、Firefox < 78です。(CVE-2020-12426)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのmacOSまたはMac OS XホストにインストールされているFirefoxのバージョンは、78.0より前のものです。したがって、mfsa2020-24のアドバイザリに記載されている複数の脆弱性の影響を受けます。Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

このMozillaFirefoxのバージョン78.0.1 ESRへの更新では、次の問題を修正します：

修正されたセキュリティ問題：

  - CVE-2020-12415：URLエンコードされた文字の処理が原因のAppCacheマニフェストポイズニング（bsc#1173576）。

  - CVE-2020-12416：WebRTC VideoBroadcaster内のメモリ解放後使用（bsc#1173576）。

  - CVE-2020-12417：ARM64でのValueTagsの符号拡張欠落に起因するメモリ破損（bsc#1173576）。

  - CVE-2020-12418：操作されたURLオブジェクトによる情報漏洩（bsc#1173576）。

  - CVE-2020-12419：nsGlobalWindowInnerのメモリ解放後使用（Use After Free）（bsc#1173576）。

  - CVE-2020-12420：STUNサーバーに接続しようとする際のメモリ解放後使用（Use After Free）（bsc#1173576）。

  - CVE-2020-12402：サイドチャネル攻撃に対して脆弱なRSAキー生成（bsc#1173576）。

  - CVE-2020-12421：アドオンの更新は、ソフトウェアの更新と同じ証明書信頼ルールを尊重していませんでした（bsc#1173576）。

  - CVE-2020-12422：nsJPEGEncoder：：emptyOutputBufferにおける整数オーバーフロー（bsc#1173576）。

  - CVE-2020-12423：ライブラリでの%PATH%の検索が原因のDLLハイジャック（bsc#1173576）。

  - CVE-2020-12424：WebRTC許可プロンプトが侵害されたコンテンツプロセスによってバイパスされた可能性がある（bsc#1173576）。

  - CVE-2020-12425：Date.parse（）における領域外読み取り（bsc#1173576）。

  - CVE-2020-12426：Firefox 78で修正されたメモリ安全性に関するバグ（bsc#1173576）。

  - FIPS：MozillaFirefox：/proc/sys/crypto/fips_enabledを許可します（bsc#1167231）。

修正された非セキュリティ問題：

  - freetype6との相互作用を修正しました（bsc#1173613）。

この更新はSUSEからインポートされました：SLE-15：更新プロジェクトを更新します。

リモートのmacOSまたはMac OS XのホストにインストールされているThunderbirdのバージョンは、78.0より前です。したがって、mfsa2020-29アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - %2FがマニフェストURLに存在する場合、FirefoxのAppCacheの挙動が混乱し、サブディレクトリからマニフェストを提供する可能性がありました。これにより、appcacheがトップレベルのディレクトリに対するリクエストのサービスに使用される可能性があります。この脆弱性の影響を受けるのは、Firefox < 78です。（CVE-2020-12415）

  - VideoStreamEncoderが、VideoBroadcasterとの競合状態で解放された可能性があります: : AddOrUpdateSinkにより、メモリ解放後使用（Use After Free）、メモリ破損、悪用可能なクラッシュを引き起こす可能性があります。この脆弱性の影響を受けるのは、Firefox < 78です。（CVE-2020-12416）

  - JavaScript ObjectのValueTagに関する混乱により、オブジェクトがタイプバリアを通過し、メモリ破損および悪用可能なクラッシュを引き起こす可能性があります。 *注意: この問題はARM64プラットフォームのFirefoxにのみ影響します。* この脆弱性の影響を受けるのは、Firefox ESR < 68.10、Firefox < 78、Thunderbird < 68.10.0です。
    (CVE-2020-12417)

  - URLオブジェクトの個々の部分を操作することで、領域外読み取りが発生し、プロセスメモリが悪意のあるJavaScriptに漏洩した可能性があります。この脆弱性の影響を受けるのは、Firefox ESR < 68.10、Firefox < 78、Thunderbird < 68.10.0です。
    (CVE-2020-12418)

  - 親プロセスのウィンドウフラッシュ中に発生するコールバックを処理する際に、関連するウィンドウが機能しなくなる可能性があります。メモリ解放後使用（Use After Free）状態を引き起こします。これにより、メモリ破損と悪用可能なクラッシュを引き起こす可能性がありました。この脆弱性の影響を受けるのは、Firefox ESR < 68.10、Firefox < 78、Thunderbird < 68.10.0です。
    (CVE-2020-12419)

  - STUNサーバーへの接続を試行する際、競合状態によりポインターのメモリ解放後使用（Use After Free）が引き起こされ、メモリ破損と悪用可能なクラッシュが引き起こされる可能性があります。この脆弱性の影響を受けるのは、Firefox ESR < 68.10、Firefox < 78、Thunderbird < 68.10.0です。
    (CVE-2020-12420)

  - RSAキーの生成中、bignumの実装のために、大幅な入力依存のフローを伴う、さまざまなBinary Extended Euclidアルゴリズムが使用されました。これにより、攻撃者が、電磁気ベースのサイドチャネル攻撃を実行して、秘密の素数の回復につながるトレースを記録することができました。*注意: * 変更されていないFirefoxブラウザは、通常の操作ではRSAキーを生成しないため影響を受けませんが、その上に構築された製品は影響を受ける可能性があります。この脆弱性は、Firefox < 78に影響します。
    (CVE-2020-12402)

  - アドオンの更新を実行する際、（管理者が正当に追加したものであっても）rootビルトインルートで終了する証明書チェーンが拒否されました。これにより、ユーザーに通知されることなくサイレントにアドオンが古くなった可能性があります。この脆弱性の影響を受けるのは、Firefox ESR < 68.10、Firefox < 78、Thunderbird < 68.10.0です。（CVE-2020-12421）

  - 非標準の構成では、JavaScriptが作成したJPEG画像が内部変数のオーバーフローを引き起こし、領域外書き込み、メモリ破損、悪用可能なクラッシュを引き起こす可能性があります。この脆弱性の影響を受けるのは、Firefox < 78です。（CVE-2020-12422）

  - Windows DLLのwebauthn.dllがオペレーティングシステムから欠落しており、悪意のあるものがユーザーの%PATH%のフォルダに配置された場合、FirefoxがDLLをロードし、任意のコードの実行を引き起こした可能性があります。*注意: この問題の影響を受けるのは、Windowsオペレーティングシステムのみです。他のオペレーティングシステムは影響を受けません。* この脆弱性はFirefox < 78に影響します。（CVE-2020-12423）

  - WebRTCの権限プロンプトを構築する際に、URIがコンテンツプロセスから提供されていました。このURIは信頼されず、以前は許可されていた元のURIであった可能性があります。プロンプトをバイパスします。
    この脆弱性は、Firefox < 78に影響します。
    (CVE-2020-12424)

  - Date.parse()のハイフン文字の処理の混乱により、1バイトの領域外読み取りが発生し、情報漏洩が発生する可能性がありました。
    この脆弱性は、Firefox < 78に影響します。
    (CVE-2020-12425)

  Mozilla開発者およびコミュニティメンバーが、Firefox 77に存在するメモリ安全性のバグを報告しました。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、手間をかけることにより、これらの一部が悪用され、任意のコードが実行される可能性があると推測しています。この脆弱性の影響を受けるのは、Firefox < 78です。（CVE-2020-12426）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

このMozillaFirefoxのバージョン78.0.1 ESRへの更新では、次の問題を修正します：

修正されたセキュリティ問題：

  - CVE-2020-12415: URLエンコードされた文字の処理が原因のAppCacheマニフェストポイズニング（bsc#1173576）。

  - CVE-2020-12416: WebRTC VideoBroadcaster内のメモリ解放後使用（bsc#1173576）。

  - CVE-2020-12417:ARM64でのValueTagsの符号拡張欠落に起因するメモリ破損（bsc#1173576）。

  - CVE-2020-12418: 操作されたURLオブジェクトによる情報漏洩（bsc#1173576）。

  - CVE-2020-12419: nsGlobalWindowInnerのメモリ解放後使用（Use After Free）（bsc#1173576）。

  - CVE-2020-12420: STUNサーバーに接続しようとする際のメモリ解放後使用（Use After Free）（bsc#1173576）。

  - CVE-2020-12402: サイドチャネル攻撃に対して脆弱なRSAキー生成（bsc#1173576）。

  - CVE-2020-12421: アドオンの更新は、ソフトウェアの更新と同じ証明書信頼ルールを尊重していませんでした（bsc#1173576）。

  - CVE-2020-12422: nsJPEGEncoder：: emptyOutputBufferにおける整数オーバーフロー（bsc#1173576）。

  - CVE-2020-12423: ライブラリでの%PATH%の検索が原因のDLLハイジャック（bsc#1173576）。

  - CVE-2020-12424: WebRTC許可プロンプトが侵害されたコンテンツプロセスによってバイパスされた可能性がある（bsc#1173576）。

  - CVE-2020-12425: Date.parse（）における領域外読み取り（bsc#1173576）。

  - CVE-2020-12426: Firefox 78で修正されたメモリ安全性に関するバグ（bsc#1173576）。

  - FIPS：MozillaFirefox：/proc/sys/crypto/fips_enabledを許可します（bsc#1167231）。

修正された非セキュリティ問題：

  - freetype6との相互作用を修正しました（bsc#1173613）。

この更新はSUSEからインポートされました：SLE-15: 更新プロジェクトを更新します。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
138494	SUSE SLES12セキュリティ更新プログラム：MozillaFirefox（SUSE-SU-2020:1899-1）	Nessus	SuSE Local Security Checks	2020/7/15	2024/3/1	high
138085	Mozilla Firefox < 78.0	Nessus	Windows	2020/7/2	2024/3/4	high
138589	Mozilla Thunderbird < 78.0	Nessus	Windows	2020/7/17	2024/3/1	high
150683	SUSE SLES11 セキュリティ更新プログラム: MozillaFirefox (SUSE-SU-2020:14421-1)	Nessus	SuSE Local Security Checks	2021/6/10	2023/12/13	high
138084	Mozilla Firefox < 78.0	Nessus	MacOS X Local Security Checks	2020/7/2	2024/3/4	high
138786	openSUSEセキュリティ更新プログラム：MozillaFirefox（openSUSE-2020-1017）	Nessus	SuSE Local Security Checks	2020/7/21	2024/2/29	high
138493	SUSE SLED15 / SLES15セキュリティ更新プログラム：MozillaFirefox（SUSE-SU-2020:1898-1）	Nessus	SuSE Local Security Checks	2020/7/15	2024/3/1	high
138588	Mozilla Thunderbird < 78.0	Nessus	MacOS X Local Security Checks	2020/7/17	2024/3/1	high
138747	openSUSE セキュリティ更新プログラム：MozillaFirefox（openSUSE-2020-983）	Nessus	SuSE Local Security Checks	2020/7/20	2024/2/29	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high