Mozilla Foundation による報告：

CVE-2018-5127:バッファオーバーフロー操作SVG animatedPathSegList

CVE-2018-5128:エディター選択範囲操作時のメモリ解放後使用（use-after-free）

CVE-2018-5129:不正な形式のIPCメッセージによる境界外書き込み

CVE-2018-5130:対応しないRTPペイロードタイプによりメモリ破損の可能性

CVE-2018-5131:Fetch APIがストアなし/キャッシュなしのリソースのキャッシュされたコピーを正しく返さない

CVE-2018-5132:WebExtension Find APIにより権限により制限されたページを検索することがある

CVE-2018-5133:app.support.baseURL設定の値が適切にサニタイズされていない

CVE-2018-5134:WebExtensionsがview-sourceを使用する場合があります：コンテンツ制限をバイパスするURL

CVE-2018-5135:WebExtension browserActionが、意図しないコンテキストにスクリプトを注入する可能性があります

CVE-2018-5136:データによる同一生成元ポリシー違反:URL共有ワーカー

CVE-2018-5137:スクリプトコンテンツから、レガシー拡張のコンテンツアクセス不能リソースにアクセス可能

CVE-2018-5138:長いドメイン名によるAndroidカスタムタブアドレススプーフィング

CVE-2018-5140:Moz-icon画像からmoz-icon:プロトコルを通じてWebコンテンツにアクセス可能

CVE-2018-5141:通知プッシュAPIによるDOS攻撃

CVE-2018-5142:Media CaptureおよびStreams API権限がdata:およびblob:で不適切な生成元を表示URL

CVE-2018-5143:自己XSS貼り付けjavascript:アドレスバーにタブが埋め込まれたURL

CVE-2018-5126:Firefox 59で修正されたメモリ安全性に関するバグ

CVE-2018-5125:Firefox 59およびFirefox ESR 52.7で修正されたメモリ安全性に関するバグ

リモートのmacOSまたはMac OS XホストにインストールされているMozilla Firefoxのバージョンは59より前です。したがって、コードの実行を許す脆弱性や悪用可能なクラッシュを引き起こす脆弱性など、複数の脆弱性の影響を受けます。

USN-3596-1 は、Firefoxの脆弱性を修正しました。このアップデートにより、UnityでFirefoxを実行しているときに、ツールバーをカスタマイズできない問題が発生しました。この更新プログラムにより問題が修正されます。

ご不便をお掛けして申し訳ございません。

元のアドバイザリの詳細:

Firefoxで複数のセキュリティの問題が発見されました。ユーザーが誘導され、特別に細工されたWebサイトを開くと、攻撃者がこれらを悪用して、アプリケーションのクラッシュや新しいタブを介したサービス拒否を引き起こしたり、サンドボックスを回避したり、同一オリジンの制限をバイパスしたり、秘密情報を取得したり、ユーザーを不正なアクセス許可リクエストで誘導したり、任意のコードを実行したりする可能性があります。
(CVE-2018-5125、CVE-2018-5126、CVE-2018-5127、CVE-2018-5128、CVE-2018-5129、CVE-2018-5130、CVE-2018-5136、CVE-2018-5137、CVE-2018-5140、CVE-2018-5141、CVE-2018-5142) 

fetch()APIが、特定の状況で、no-storeやno-cacheリソースのキャッシュされたコピーを不適切に返すことがわかりました。ローカルの攻撃者がこれを悪用して、複数のユーザーが共通プロファイルを共有する環境で秘密情報を取得する可能性があります。(CVE-2018-5131) 

WebExtensionsで複数のセキュリティの問題が発見されました。
ユーザーが誘導されて特別に細工された拡張機能をインストールすると、攻撃者がこれらを悪用して、秘密情報を入手したり、セキュリティ制限をバイパスしたりする可能性があります。(CVE-2018-5132、CVE-2018-5134、CVE-2018-5135) 

app.support.baseURLの値が適切にサニタイズされていないことがわかりました。悪意のあるローカルアプリケーションがこれを特別に細工された値に設定した場合、攻撃者がこれを悪用して任意のコードを実行する可能性があります。
(CVE-2018-5133)

タブ文字が埋め込まれた javascript:  URL がアドレスバーに貼り付けられる可能性があることがわかりました。ユーザーが誘導されて特別に細工された URL をアドレスバーにコピーした場合、攻撃者がこれを悪用して、クロスサイトスクリプティング (XSS) 攻撃を行う可能性があります。(CVE-2018-5143)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Firefoxで複数のセキュリティの問題が発見されました。ユーザーが誘導され、特別に細工されたWebサイトを開くと、攻撃者がこれらを悪用して、アプリケーションのクラッシュや新しいタブを介したサービス拒否を引き起こしたり、サンドボックスを回避したり、同一オリジンの制限をバイパスしたり、秘密情報を取得したり、ユーザーを不正なアクセス許可リクエストで誘導したり、任意のコードを実行したりする可能性があります。
(CVE-2018-5125、CVE-2018-5126、CVE-2018-5127、CVE-2018-5128、CVE-2018-5129、CVE-2018-5130、CVE-2018-5136、CVE-2018-5137、CVE-2018-5140、CVE-2018-5141、CVE-2018-5142) 

fetch()APIが、特定の状況で、no-storeやno-cacheリソースのキャッシュされたコピーを不適切に返すことがわかりました。ローカルの攻撃者がこれを悪用して、複数のユーザーが共通プロファイルを共有する環境で秘密情報を取得する可能性があります。(CVE-2018-5131) 

WebExtensionsで複数のセキュリティの問題が発見されました。ユーザーが誘導されて特別に細工された拡張機能をインストールすると、攻撃者がこれらを悪用して、秘密情報を入手したり、セキュリティ制限をバイパスしたりする可能性があります。(CVE-2018-5132、CVE-2018-5134、CVE-2018-5135) 

app.support.baseURLの値が適切にサニタイズされていないことがわかりました。悪意のあるローカルアプリケーションがこれを特別に細工された値に設定した場合、攻撃者がこれを悪用して任意のコードを実行する可能性があります。(CVE-2018-5133) 

タブ文字が埋め込まれた javascript:  URL がアドレスバーに貼り付けられる可能性があることがわかりました。ユーザーが誘導されて特別に細工されたURLをアドレスバーにコピーした場合、攻撃者がこれを悪用して、クロスサイトスクリプティング (XSS) 攻撃を行う可能性があります。
(CVE-2018-5143)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートのWindowsホストにインストールされているMozilla Firefoxのバージョンは59より前です。したがって、コードの実行を許す脆弱性や悪用可能なクラッシュを引き起こす脆弱性など、複数の脆弱性の影響を受けます。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
108315	FreeBSD: mozilla -- 複数の脆弱性（c71cdc95-3c18-45b7-866a-af28b59aabb5）	Nessus	FreeBSD Local Security Checks	2018/3/14	2019/7/10	critical
108375	Mozilla Firefox < 59の複数の脆弱性（macOS）	Nessus	MacOS X Local Security Checks	2018/3/15	2019/11/8	critical
108949	Ubuntu 14.04 LTS / 16.04 LTS : Firefox のリグレッション (USN-3596-2)	Nessus	Ubuntu Local Security Checks	2018/4/10	2023/10/20	critical
108370	Ubuntu 14.04LTS / 16.04LTS : Firefox の脆弱性 (USN-3596-1)	Nessus	Ubuntu Local Security Checks	2018/3/15	2023/10/20	critical
108377	Mozilla Firefox<59の複数の脆弱性	Nessus	Windows	2018/3/15	2019/11/8	critical

検出

プラグインの検索

critical

critical

critical

critical

critical