Mozilla Firefox ESR < 60.9
critical Nessus Plugin ID 128529
語言:
概要
遠端 macOS 或 Mac OS X 主機上安裝的 Web 瀏覽器受到多個弱點影響。說明
遠端 macOS 或 Mac OS X 主機上安裝的 Firefox ESR 版本早於 60.9。因此，該應用程式受到 mfsa2019-27 公告中提及的多個弱點影響。- 如果沙箱內容處理程序因個別弱點而遭到入侵可以透過在該處理程序中載入 <code>accounts.firefox.com</code> 並強制登入惡意 Firefox Sync 帳戶來逸出沙箱。然後，停用沙箱的喜好設定會同步至本機電腦，如果觸發當機，遭入侵的瀏覽器會在沒有沙箱的情況下重新啟動。
(CVE-2019-9812)
- 有可能刪除 IndexedDB 金鑰值，然後嘗試在轉換期間擷取該金鑰值。這會導致釋放後使用及可能遭惡意利用的當機。 (CVE-2019-11752)
- 若遭到釋放時內文仍在使用中，則操控視訊元素時可能會出現釋放後使用弱點。這會導致可能遭惡意利用的當機。 (CVE-2019-11746)
- 某些 HTML 元素 (如 <code><title></code> 和 <code><textarea></code>) 可包含常值角括弧，而又不將之視為標記。有可能將常值結束標籤傳送至這些元素上的 <code>.innerHTML</code> 然後將其後的後續內容視為在標籤之外進行剖析。如果網站未像針對其他元素一樣嚴格篩選這些元素的使用者輸入這可能會導致 XSS。 (CVE-2019-11744)
- 發生同源原則違規情形，有心人士可藉此透過 SVG 篩選器和 <code><canvas></code> 元件的組合來竊取跨來源影像，這是將同源原則套用到已快取影像內容的方式有誤所致。因此所致的同源原則違規可能導致資料遭竊。
(CVE-2019-11742)
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
升級至 Mozilla Firefox ESR 60.9 版或更新版本。另請參閱
https://www.mozilla.org/en-US/security/advisories/mfsa2019-27/
Plugin 詳細資訊
嚴重性: Critical
ID: 128529
檔案名稱: macos_firefox_60_9_esr.nasl
版本: 1.8
類型: local
代理程式: macosx
已發布: 2019/9/5
已更新: 2025/11/18
支援的感應器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Nessus
風險資訊
VPR
風險因素: High
分數: 7.1
CVSS v2
風險因素: High
基本分數: 9.3
時間性分數: 7.3
媒介: CVSS2#AV:N/AC:M/Au:N/C:C/I:C/A:C
CVSS 評分資料來源: CVE-2019-11752
CVSS v3
風險因素: Critical
基本分數: 9.3
時間性分數: 8.4
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:H/A:H
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
CVSS 評分資料來源: CVE-2019-9812
弱點資訊
CPE: cpe:/a:mozilla:firefox_esr
必要的 KB 項目: installed_sw/Mozilla Firefox ESR
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2019/9/3
弱點發布日期: 2019/9/3
參考資訊
CVE: CVE-2019-11740, CVE-2019-11742, CVE-2019-11743, CVE-2019-11744, CVE-2019-11746, CVE-2019-11752, CVE-2019-11753, CVE-2019-9812
MFSA: 2019-27