This update to Mozilla Firefox 46.0 fixes several security issues and bugs (boo#977333).

The following vulnerabilities were fixed :

  - CVE-2016-2804: Miscellaneous memory safety hazards -     MFSA 2016-39 (boo#977373)

  - CVE-2016-2806: Miscellaneous memory safety hazards -     MFSA 2016-39 (boo#977375)

  - CVE-2016-2807: Miscellaneous memory safety hazards -     MFSA 2016-39 (boo#977376)

  - CVE-2016-2808: Write to invalid HashMap entry through     JavaScript.watch()

  - MFSA 2016-47 (boo#977386)

  - CVE-2016-2811: Use-after-free in Service Worker - MFSA     2016-42 (boo#977379)

  - CVE-2016-2812: Buffer overflow in Service Worker - MFSA     2016-42 (boo#977379)

  - CVE-2016-2814: Buffer overflow in libstagefright with     CENC offsets - MFSA 2016-44 (boo#977381)

  - CVE-2016-2816: CSP not applied to pages sent with     multipart/x-mixed-replace - MFSA 2016-45 (boo#977382)

  - CVE-2016-2817: Elevation of privilege with     chrome.tabs.update API in web extensions - MFSA 2016-46     (boo#977384)

  - CVE-2016-2820: Firefox Health Reports could accept     events from untrusted domains - MFSA 2016-48     (boo#977388)

    The following miscellaneous changes are included :

  - Improved security of the JavaScript Just In Time (JIT)     Compiler

  - WebRTC fixes to improve performance and stability

  - Added support for document.elementsFromPoint

  - Added HKDF support for Web Crypto API

The minimum requirements increased to NSPR 4.12 and NSS 3.22.3.

Mozilla NSS was updated to 3.22.3 as a dependency for Mozilla Firefox 46.0, with the following changes :

  - Increase compatibility of TLS extended master secret,     don't send an empty TLS extension last in the handshake     (bmo#1243641)

  - RSA-PSS signatures are now supported

  - Pseudorandom functions based on hashes other than SHA-1     are now supported

  - Enforce an External Policy on NSS from a config file

The remote host is affected by the vulnerability described in GLSA-201701-15 (Mozilla Firefox, Thunderbird: Multiple vulnerabilities)

    Multiple vulnerabilities have been discovered in Mozilla Firefox and       Thunderbird. Please review the CVE identifiers referenced below for       details.
  Impact :

    A remote attacker could possibly execute arbitrary code with the       privileges of the process or cause a Denial of Service condition via       multiple vectors.
  Workaround :

    There is no known workaround at this time.

此 Mozilla Firefox 46.0 更新修复了多个安全问题和缺陷 (boo#977333)。

修复了以下漏洞：

- CVE-2016-2804：其他内存安全危害 - MFSA 2016-39 (boo#977373)

- CVE-2016-2806：其他内存安全危害 - MFSA 2016-39 (boo#977375)

- CVE-2016-2807：其他内存安全危害 - MFSA 2016-39 (boo#977376)

- CVE-2016-2808：通过 JavaScript.watch() 写入无效的 HashMap 条目

- MFSA 2016-47 (boo#977386)

- CVE-2016-2811：服务工作线程中的释放后使用 - MFSA 2016-42 (boo#977379)

- CVE-2016-2812：服务工作线程中的缓冲区溢出 - MFSA 2016-42 (boo#977379)

- CVE-2016-2814：libstagefright 中因 CENC 偏移发生的缓冲区溢出 - MFSA 2016-44 (boo#977381)

- CVE-2016-2816：CSP 未应用到通过 multipart/x-mixed-replace 发送的页面 - MFSA 2016-45 (boo#977382)

- CVE-2016-2817：通过 Web 扩展中的 chrome.tabs.update API 提升权限 - MFSA 2016-46 (boo#977384)

- CVE-2016-2820：Firefox 健康状况报告可接收来自不受信任域的事件 - MFSA 2016-48 (boo#977388)

包含以下其他变更：

- 提高了 JavaScript Just In Time (JIT) 编译器的安全性

- WebRTC 补丁可改善性能和稳定性

- 添加了对 document.elementsFromPoint 的支持

- 添加了对 Web Crypto API 的 HKDF 支持

最低要求提高为 NSPR 4.12 和 NSS 3.22.3。

作为 Mozilla Firefox 46.0 的依赖项，Mozilla NSS 已更新到 3.22.3，包含以下变更：

- 提高 TLS 扩展主密钥的兼容性，不在握手结束前发送空 TLS 扩展 (bmo#1243641)

- 现在支持 RSA-PSS 签名

- 现在支持基于哈希而不是 SHA-1 的伪随机函数

- 在 NSS 上强制执行来自配置文件的外部策略

远程主机受到 GLSA-201701-15 中所述漏洞的影响（Mozilla Firefox、Thunderbird：多个漏洞）在 Mozilla Firefox 与 Thunderbird 中发现多个漏洞。请检查下面引用的 CVE 标识符以了解详细信息。影响：远程攻击者可能以进程的权限执行任意代码，或者通过多个向量造成拒绝服务情况。解决方法：目前无任何已知的解决方法。

Mozilla Firefox 46.0 へのこの更新は、いくつかのセキュリティの問題とバグを修正します（boo#977333）。

次の脆弱性が修正されました：

- CVE-2016-2804：さまざまなメモリの安全に関する問題 - MFSA 2016-39（boo#977373）

- CVE-2016-2806：さまざまなメモリの安全に関する問題 - MFSA 2016-39（boo#977375）

- CVE-2016-2807：さまざまなメモリの安全に関する問題 - MFSA 2016-39（boo#977376）

- CVE-2016-2808：JavaScript.watch() を通じて無効な HashMap エントリに書き込みます

- MFSA 2016-47（boo#977386）

- CVE-2016-2811：Service Worker の use-after-free - MFSA 2016-42（boo#977379）

- CVE-2016-2812：Service Worker のバッファオーバーフロー - MFSA 2016-42（boo#977379）

- CVE-2016-2814：CENC オフセットの libstagefright のバッファオーバーフロー - MFSA 2016-44（boo#977381）

- CVE-2016-2816：CSP が multipart/x-mixed-replace で送信されたページに適用されません - MFSA 2016-45（boo#977382）

- CVE-2016-2817：Web 拡張の chrome.tabs.update API による権限昇格 - MFSA 2016-46（boo#977384）

- CVE-2016-2820：Firefox ヘルスレポートは、信頼できないドメインからイベントを受け入れる可能性があります。- MFSA 2016-48（boo#977388）

以下のさまざまな変更が含まれています：

- JavaScript 実行時（JIT）コンパイラのセキュリティを向上しました

- パフォーマンスと安定性を向上する WebRTC の修正

- document.elementsFromPoint のサポートを追加しました

- Web Crypto API の HKDF サポートを追加しました

最小要件が NSPR 4.12 と NSS 3.22.3 へ増加しました。

Mozilla Firefox 46.0 の依存関係として、Mozilla NSS が 3.22.3 に更新され、以下の変更を受けました：

- TLS 拡張マスターシークレットの互換性を増加します。空の TLS 拡張をハンドシェイクの最後に送信しません（bmo#1243641）

- RSA-PSS 署名が現時点ではサポートされています

- SHA-1 以外のハッシュに基づいた疑似ランダム関数が現時点ではサポートされます

- 構成ファイルからの NSS で外部ポリシーを実施します

リモートホストは、GLSA-201701-15（Mozilla FirefoxおよびThunderbird：複数の脆弱性）に記載されているように、脆弱性に影響されています。Mozilla FirefoxとThunderbirdに複数の脆弱性が見つかりました。詳細については、以下に記載されているCVE識別番号を参照してください。影響：リモートの攻撃者が、複数のベクトルを通じて、プロセスの権限で任意のコードを実行したり、サービス拒否の状態を引き起こしたりする可能性があります。回避策：現時点では、既知の回避策はありません。

此 Mozilla Firefox 46.0 更新可修正數個安全性問題和錯誤 (boo#977333)。

下列弱點已修正：

- CVE-2016-2804：其他記憶體安全性危險 - MFSA 2016-39 (boo#977373)

- CVE-2016-2806：其他記憶體安全性危險 - MFSA 2016-39 (boo#977375)

- CVE-2016-2807：其他記憶體安全性危險 - MFSA 2016-39 (boo#977376)

- CVE-2016-2808：透過 JavaScript.watch() 寫入無效的 HashMap 項目

- MFSA 2016-47 (boo#977386)

- CVE-2016-2811：服務背景工作中的釋放後使用 - MFSA 2016-42 (boo#977379)

- CVE-2016-2812：服務背景工作中發生緩衝區溢位 - MFSA 2016-42 (boo#977379)

- CVE-2016-2814：libstagefright 中因 CENC 位移發生的緩衝區溢位 - MFSA 2016-44 (boo#977381)

- CVE-2016-2816：CSP 未套用至透過 multipart/x-mixed-replace 傳送的頁面 - MFSA 2016-45 (boo#977382)

- CVE-2016-2817：透過 Web 延伸模組中的 chrome.tabs.update API 提升權限 - MFSA 2016-46 (boo#977384)

- CVE-2016-2820：Firefox 健康狀況報告可接受來自不受信任網域的事件 - MFSA 2016-48 (boo#977388)

包含下列其他變更：

- 改善 JavaScript Just In Time (JIT) 編譯器的安全性

- WebRTC 修正可改善效能和穩定性

- 新增對 document.elementsFromPoint 的支援

- 新增對 Web Crypto API 的 HKDF 支援

最低需求提高為 NSPR 4.12 和 NSS 3.22.3。

Mozilla NSS 已更新至 3.22.3 版做為 Mozilla Firefox 46.0 的相依性，包含下列變更：

- 提高 TLS 延伸主要密碼的相容性，不在交握結束前傳送空 TLS 延伸 (bmo#1243641)

- 現在支援 RSA-PSS 簽章

- 現在支援依據雜湊而非 SHA-1 的偽隨機函式

- 在 NSS 上強制執行來自組態檔的外部原則

遠端主機受到 GLSA-201701-15 中所述的弱點影響 (Mozilla Firefox、Thunderbird：多個弱點) 在 Mozilla Firefox 和 Thunderbird 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。影響：遠端攻擊者可能以處理程序的權限執行任意程式碼，或透過多個向量造成拒絕服務情況。因應措施：目前尚無已知的因應措施。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
91069	openSUSE Security Update : Firefox 46.0 (openSUSE-2016-566) (SWEET32)	Nessus	SuSE Local Security Checks	2016/5/12	2021/1/19	high
96276	GLSA-201701-15 : Mozilla Firefox, Thunderbird: Multiple vulnerabilities (SWEET32)	Nessus	Gentoo Local Security Checks	2017/1/4	2023/6/22	critical
91069	openSUSE 安全更新：Firefox (openSUSE-2016-566)	Nessus	SuSE Local Security Checks	2016/5/12	2021/1/19	high
96276	GLSA-201701-15：Mozilla Firefox、Thunderbird：多个漏洞 (SWEET32)	Nessus	Gentoo Local Security Checks	2017/1/4	2023/6/22	critical
91069	openSUSE セキュリティ更新：Firefox（openSUSE-2016-566）	Nessus	SuSE Local Security Checks	2016/5/12	2021/1/19	high
96276	GLSA-201701-15：Mozilla Firefox、Thunderbird：複数の脆弱性（SWEET32）	Nessus	Gentoo Local Security Checks	2017/1/4	2023/6/22	critical
91069	openSUSE 安全性更新：Firefox (openSUSE-2016-566)	Nessus	SuSE Local Security Checks	2016/5/12	2021/1/19	high
96276	GLSA-201701-15：Mozilla Firefox、Thunderbird：多個弱點 (SWEET32)	Nessus	Gentoo Local Security Checks	2017/1/4	2023/6/22	critical

検出

プラグインの検索

high

critical

high

critical

high

critical

high

critical