Mozilla Firefox ESR < 68.1
critical Nessus Plugin ID 128528
語言:
概要
遠端 Windows 主機上安裝的 Web 瀏覽器會受到多個弱點影響。說明
遠端 Windows 主機上安裝的 Firefox ESR 為 68.1 之前版本。因此會受到 mfsa2019-26 公告中所提及的多個弱點影響。- 如果沙箱內容處理程序因個別弱點而遭到入侵可以透過在該處理程序中載入 <code>accounts.firefox.com</code> 並強制登入惡意 Firefox Sync 帳戶來逸出沙箱。然後，停用沙箱的喜好設定會同步至本機電腦，如果觸發當機，遭入侵的瀏覽器會在沒有沙箱的情況下重新啟動。
(CVE-2019-9812)
- 有可能刪除 IndexedDB 金鑰值，然後嘗試在轉換期間擷取該金鑰值。這會導致釋放後使用及可能遭惡意利用的當機。 (CVE-2019-11752)
- 當 Firefox 是由其他程式啟動時未正確清理記錄相關的命令行參數例如使用者按一下聊天應用程式中的惡意連結時。這可用來將記錄檔寫入任意位置例如 Windows「Startup」資料夾。注意此問題只會影響 Windows 作業系統上的 Firefox。 (CVE-2019-11751)
- 若遭到釋放時內文仍在使用中，則操控視訊元素時可能會出現釋放後使用弱點。這會導致可能遭惡意利用的當機。 (CVE-2019-11746)
- 某些 HTML 元素 (如 <code><title></code> 和 <code><textarea></code>) 可包含常值角括弧，而又不將之視為標記。有可能將常值結束標籤傳送至這些元素上的 <code>.innerHTML</code> 然後將其後的後續內容視為在標籤之外進行剖析。如果網站未像針對其他元素一樣嚴格篩選這些元素的使用者輸入這可能會導致 XSS。 (CVE-2019-11744)
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
升級至 Mozilla Firefox ESR 68.1 版或更新版本。另請參閱
https://www.mozilla.org/en-US/security/advisories/mfsa2019-26/
Plugin 詳細資訊
嚴重性: Critical
ID: 128528
檔案名稱: mozilla_firefox_68_1_esr.nasl
版本: 1.8
類型: local
代理程式: windows
系列: Windows
已發布: 2019/9/5
已更新: 2025/11/18
支援的感應器: Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus
風險資訊
VPR
風險因素: Medium
分數: 6.3
CVSS v2
風險因素: High
基本分數: 9.3
時間性分數: 7.3
媒介: CVSS2#AV:N/AC:M/Au:N/C:C/I:C/A:C
CVSS 評分資料來源: CVE-2019-11752
CVSS v3
風險因素: Critical
基本分數: 9.3
時間性分數: 8.4
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:H/A:H
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
CVSS 評分資料來源: CVE-2019-9812
弱點資訊
CPE: cpe:/a:mozilla:firefox_esr
必要的 KB 項目: installed_sw/Mozilla Firefox ESR
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2019/9/3
弱點發布日期: 2019/9/3
參考資訊
CVE: CVE-2019-11735, CVE-2019-11736, CVE-2019-11738, CVE-2019-11740, CVE-2019-11742, CVE-2019-11743, CVE-2019-11744, CVE-2019-11746, CVE-2019-11747, CVE-2019-11748, CVE-2019-11749, CVE-2019-11750, CVE-2019-11751, CVE-2019-11752, CVE-2019-11753, CVE-2019-9812
MFSA: 2019-26