The version of Firefox installed on the remote Windows host is prior to 46. したがって、以下の複数の脆弱性による影響を受けます。

  - Multiple memory corruption issues exist that allow an attacker to corrupt memory, resulting in the execution of arbitrary code. (CVE-2016-2804, CVE-2016-2806, CVE-2016-2807)

  - 下層の HashMap の 32 ビット生成カウントを処理する際に、ユーザー指定の入力が不適切に検証されているため、欠陥が存在します。A context-dependent attacker can exploit this to cause a buffer overflow condition, resulting in a denial of service or the execution of arbitrary code. (CVE-2016-2808)

  - Maintenance Service アップデーターに、長いログファイルパスの処理が不適切なことにより、ローカルの権限昇格の脆弱性が存在します。ローカルの攻撃者がこれを悪用して、任意のファイルを削除したり、昇格された権限を取得する可能性があります。
    (CVE-2016-2809)

  - BeginReading() 関数にある use-after-free エラーに起因する、リモートコードの実行の脆弱性が存在します。A context-dependent attacker can exploit this to dereference already freed memory, resulting in the execution of arbitrary code. (CVE-2016-2811)

  - get() 関数の ServiceWorkerManager 内の競合状態に起因する、リモートコードの実行の脆弱性が存在します。A context-dependent attacker can exploit this to execute arbitrary code. (CVE-2016-2812)

  - CENC オフセットとサイズテーブルの処理時に、ユーザー指定の入力が不適切に検証されるため、ヒープバッファオーバーフロー状態が Google Stagefright コンポーネントに存在します。A context-dependent attacker can exploit this to cause a denial of service condition or the execution of arbitrary code. (CVE-2016-2814)

  - Content Security Policy（CSP）が「multipart/x-mixed-replace」MIME-type で送信された Web コンテンツに適切に適用されないことに起因する、セキュリティバイパスの脆弱性が存在します。A context-dependent attacker can exploit this to bypass CSP protection. (CVE-2016-2816)

  - 権限のない「javascript: URL」ナビゲーションの不適切な制限に起因する、クロスサイトスクリプティング（XSS）の脆弱性が存在します。A context-dependent attacker can exploit this, via a specially crafted request, to execute arbitrary script code in the context of a user's browser session. (CVE-2016-2817)

  - Firefox Health Report に欠陥が存在します。これは、その iframe に存在するコンテンツドキュメントイベントを受け入れた場合に引き起こされます。A context-dependent attacker can exploit this to manipulate sharing preferences. (CVE-2016-2820)

Mozilla Firefox 46.0 へのこの更新は、いくつかのセキュリティの問題とバグを修正します（boo#977333）。

次の脆弱性が修正されました：

- CVE-2016-2804：さまざまなメモリの安全に関する問題 - MFSA 2016-39（boo#977373）

- CVE-2016-2806：さまざまなメモリの安全に関する問題 - MFSA 2016-39（boo#977375）

- CVE-2016-2807：さまざまなメモリの安全に関する問題 - MFSA 2016-39（boo#977376）

- CVE-2016-2808：JavaScript.watch() を通じて無効な HashMap エントリに書き込みます

- MFSA 2016-47（boo#977386）

- CVE-2016-2811：Service Worker の use-after-free - MFSA 2016-42（boo#977379）

- CVE-2016-2812：Service Worker のバッファオーバーフロー - MFSA 2016-42（boo#977379）

- CVE-2016-2814：CENC オフセットの libstagefright のバッファオーバーフロー - MFSA 2016-44（boo#977381）

- CVE-2016-2816：CSP が multipart/x-mixed-replace で送信されたページに適用されません - MFSA 2016-45（boo#977382）

- CVE-2016-2817：Web 拡張の chrome.tabs.update API による権限昇格 - MFSA 2016-46（boo#977384）

- CVE-2016-2820：Firefox ヘルスレポートは、信頼できないドメインからイベントを受け入れる可能性があります。- MFSA 2016-48（boo#977388）

以下のさまざまな変更が含まれています：

- JavaScript 実行時（JIT）コンパイラのセキュリティを向上しました

- パフォーマンスと安定性を向上する WebRTC の修正

- document.elementsFromPoint のサポートを追加しました

- Web Crypto API の HKDF サポートを追加しました

最小要件が NSPR 4.12 と NSS 3.22.3 へ増加しました。

Mozilla Firefox 46.0 の依存関係として、Mozilla NSS が 3.22.3 に更新され、以下の変更を受けました：

- TLS 拡張マスターシークレットの互換性を増加します。空の TLS 拡張をハンドシェイクの最後に送信しません（bmo#1243641）

- RSA-PSS 署名が現時点ではサポートされています

- SHA-1 以外のハッシュに基づいた疑似ランダム関数が現時点ではサポートされます

- 構成ファイルからの NSS で外部ポリシーを実施します

リモートホストは、GLSA-201701-15（Mozilla FirefoxおよびThunderbird：複数の脆弱性）に記載されているように、脆弱性に影響されています。Mozilla FirefoxとThunderbirdに複数の脆弱性が見つかりました。詳細については、以下に記載されているCVE識別番号を参照してください。影響：リモートの攻撃者が、複数のベクトルを通じて、プロセスの権限で任意のコードを実行したり、サービス拒否の状態を引き起こしたりする可能性があります。回避策：現時点では、既知の回避策はありません。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
90793	Firefox < 46 Multiple Vulnerabilities	Nessus	Windows	2016/4/29	2019/11/20	high
91069	openSUSE セキュリティ更新：Firefox（openSUSE-2016-566）	Nessus	SuSE Local Security Checks	2016/5/12	2021/1/19	high
96276	GLSA-201701-15：Mozilla Firefox、Thunderbird：複数の脆弱性（SWEET32）	Nessus	Gentoo Local Security Checks	2017/1/4	2023/6/22	critical

検出

プラグインの検索

high

high

critical