Mozilla Firefox < 73.0
high Nessus Plugin ID 133693
語言:
概要
遠端 Windows 主機上安裝的 Web 瀏覽器會受到多個弱點影響。說明
遠端 Windows 主機上安裝的 Firefox 版本是 73.0 之前版本。因此會受到 mfsa2020-05 公告中所提及的多個弱點影響。- Mozilla 開發人員 Jason Kratzer、Tyson Smith 與 Christian Holler 報告 Firefox 72 中存在記憶體安全性錯誤。其中某些錯誤顯示記憶體遭到損毀，我們推測若有心人士有意操控，可能利用其中部分錯誤執行任意程式碼。(CVE-2020-6801)
- 內容處理程序可修改與損毀報告資訊以及損毀本身相關的共用記憶體，並造成超出邊界寫入。這可造成記憶體損毀及可能遭惡意利用的當機。 (CVE-2020-6796)
- 透過下載副檔名為 .fileloc 的檔案具半權限的延伸模組可在使用者的電腦上啟動任意應用程式。攻擊者受到限制因為他們無法下載非隔離檔案或提供命令行引數給應用程式進而限制影響。注意此問題只會在 Mac OSX 上發生。其他作業系統不受影響。(CVE-2020-6797)
- 如果在<a id="x1">[</a> <a id="x2">] 中使用 []</a>標籤<select%gt;<a id="x3"> [] 標記時剖析器可能會混淆並在不應允許 JavaScript 剖析和執行時加以允許。<code><template></code><code></code> 因此，依賴瀏覽器正確運作的網站可能會遭受跨網站指令碼弱點攻擊。
(CVE-2020-6798)
- 作為某些不受支援之檔案類型的 shell 處置程式可能在 Firefox 叫用過程中插入命令行引數。這需要將 Firefox 設定為指定檔案類型的預設處置程式以及在未充分清理 URL 資料的第三方應用程式中開啟已下載檔案的預設處置程式。在此情況下按一下第三方應用程式中的連結可被用來擷取及執行透過命令行引數提供其位置的檔案。注意：只有當 Firefox 設定為非預設檔案類型的預設處置程式時此問題才會影響 Windows 作業系統。其他作業系統不受影響。(CVE-2020-6799)
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
升級至 Mozilla Firefox 73.0 或更新版本。另請參閱
https://www.mozilla.org/en-US/security/advisories/mfsa2020-05/
Plugin 詳細資訊
嚴重性: High
ID: 133693
檔案名稱: mozilla_firefox_73_0.nasl
版本: 1.6
類型: local
代理程式: windows
系列: Windows
已發布: 2020/2/14
已更新: 2025/11/18
支援的感應器: Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus
風險資訊
VPR
風險因素: Medium
分數: 5.9
CVSS v2
風險因素: Medium
基本分數: 6.8
時間性分數: 5
媒介: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P
CVSS 評分資料來源: CVE-2020-6801
CVSS v3
風險因素: High
基本分數: 8.8
時間性分數: 7.7
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
弱點資訊
CPE: cpe:/a:mozilla:firefox
必要的 KB 項目: installed_sw/Mozilla Firefox
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2020/2/11
弱點發布日期: 2020/2/11
參考資訊
CVE: CVE-2020-6796, CVE-2020-6797, CVE-2020-6798, CVE-2020-6799, CVE-2020-6800, CVE-2020-6801
IAVA: 2020-A-0072-S
MFSA: 2020-05