Mozilla Firefox ESR < 91.4.0

high Nessus Plugin ID 155916

Synopsis

遠端 macOS 或 Mac OS X 主機上安裝的 Web 瀏覽器受到多個弱點影響。

描述

遠端 macOS 或 Mac OS X 主機上安裝的 Firefox ESR 版本比 91.4.0 版舊。因此,該主機會受到 mfsa2021-53 公告中提及的多個弱點影響。

- 在某些情況下,非同步函式可能造成導覽失敗,而且會洩漏目標 URL。(CVE-2021-43536)

- 從 64 位元到 32 位元整數大小的錯誤類型轉換允許攻擊者損毀記憶體,進而導致可能會遭到惡意利用的當機問題。(CVE-2021-43537)

- 透過在我們的通知程式碼中誤用爭用,攻擊者可強制隱藏收到全螢幕和指標鎖定存取權的頁面通知,進而利用此漏洞發動偽造攻擊。(CVE-2021-43538)

- 無法正確記錄跨 wasm 執行個體呼叫的即時指標位置,從而導致呼叫內發生未追踪這些即時指標的 GC。這可能會造成釋放後使用,進而導致可能遭到惡意利用的當機問題。(CVE-2021-43539)

- 叫用外部通訊協定的通訊協定處置程式時,未正確逸出所提供的包含空格的參數 URL。(CVE-2021-43541)

- 攻擊者可使用 XMLHttpRequest 探查載入外部通訊協定的錯誤訊息,進而識別已安裝的應用程式。(CVE-2021-43542)

- 使用 CSP 沙箱指示詞載入的文件可透過內嵌其他內容來逸出沙箱的指令碼限制。(CVE-2021-43543)

- 在迴圈中使用 Location API 可造成嚴重的應用程式懸置和損毀。(CVE-2021-43545)

- 可以使用縮放的原生游標對使用者重新發動之前的游標偽造攻擊。
(CVE-2021-43546)

請注意,Nessus 並未測試此問題,而是僅依據應用程式自我報告的版本號碼。

解決方案

升級至 Mozilla Firefox ESR 91.4.0 版或更新版本。

另請參閱

https://www.mozilla.org/en-US/security/advisories/mfsa2021-53/

Plugin 詳細資訊

嚴重性: High

ID: 155916

檔案名稱: macos_firefox_91_4_0_esr.nasl

版本: 1.6

類型: local

代理程式: macosx

已發布: 2021/12/8

已更新: 2021/12/30

支持的傳感器: Nessus Agent

風險資訊

VPR

風險因素: High

分數: 7.4

CVSS v2

風險因素: Medium

基本分數: 6.8

時間分數: 5

媒介: AV:N/AC:M/Au:N/C:P/I:P/A:P

時間媒介: E:U/RL:OF/RC:C

CVSS 評分資料來源: CVE-2021-43539

CVSS v3

風險因素: High

基本分數: 8.8

時間分數: 7.7

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

時間媒介: E:U/RL:O/RC:C

弱點資訊

CPE: cpe:/a:mozilla:firefox_esr

必要的 KB 項目: MacOSX/Firefox/Version

可輕鬆利用: No known exploits are available

修補程式發佈日期: 2021/12/7

弱點發布日期: 2021/12/7

參考資訊

CVE: CVE-2021-4129, CVE-2021-43536, CVE-2021-43537, CVE-2021-43538, CVE-2021-43539, CVE-2021-43541, CVE-2021-43542, CVE-2021-43543, CVE-2021-43545, CVE-2021-43546

IAVA: 2021-A-0569-S