Mozilla Firefox < 98.0
critical Nessus Plugin ID 158693
語系：
概要
遠端 macOS 或 Mac OS X 主機上安裝的 Web 瀏覽器受到多個弱點影響。說明
遠端 macOS 或 Mac OS X 主機上安裝的 Firefox 版本比 98.0 版舊。因此，其會受到 mfsa2022-10 公告中提及的多個弱點影響。- 在要求全螢幕存取後調整快顯大小時，快顯不會顯示全螢幕通知。(CVE-2022-26383)
- 如果攻擊者可以控制使用 <code>allow-popups</code> 但無法控制使用 <code>allow-scripts</code> 進行沙箱化的 iframe 內容，可以特製一個連結，其中點擊該連結時會導致以不符合沙箱規則的方式執行 JavaScript。(CVE-2022-26384)
- 安裝附加元件時，Firefox 會在提示使用者之前驗證簽章；但是，當使用者確認提示時，基礎附加元件檔案可能已被修改，而 Firefox 不會注意到這一點。(CVE-2022-26387)
- 攻擊者可強制在 SVG 物件中重排文字，進而造成釋放後使用錯誤，並導致可能遭惡意利用的當機問題。(CVE-2022-26381)
- 雖然 JavaScript 無法直接讀取「自動填入」工具提示中顯示的文字，但仍會使用頁面字型來轉譯該文字。使用特製字型對文字發動側通道攻擊可導致網頁推斷出此文字。(CVE-2022-26382)
- 在異常情況下，個別執行緒在關機期間的存留期可能比執行緒管理器更長。這可能會造成釋放後使用，進而導致可能遭到惡意利用的當機問題。(CVE-2022-26385)
- Mozilla 開發人員 Kershaw Chang、Ryan VanderMeulen 和 Randell Jesup 報告 Firefox 97 中存在記憶體安全性錯誤。其中某些錯誤顯示記憶體遭到損毀，我們推測若有心人士有意操控，可能利用其中部分錯誤執行任意程式碼。(CVE-2022-0843)
請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
升級至 Mozilla Firefox 98.0 或更新版本。另請參閱
https://www.mozilla.org/en-US/security/advisories/mfsa2022-10/
Plugin 詳細資訊
嚴重性: Critical
ID: 158693
檔案名稱: macos_firefox_98_0.nasl
版本: 1.7
類型: local
代理程式: macosx
已發布: 2022/3/8
已更新: 2023/11/6
支援的感應器: Nessus Agent, Nessus
風險資訊
VPR
風險因素: High
分數: 7.4
CVSS v2
風險因素: Critical
基本分數: 10
時間分數: 7.8
媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS 評分資料來源: CVE-2022-26384
CVSS v3
風險因素: Critical
基本分數: 9.6
時間分數: 8.6
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
弱點資訊
CPE: cpe:/a:mozilla:firefox
必要的 KB 項目: MacOSX/Firefox/Installed
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2022/3/8
弱點發布日期: 2022/3/8
參考資訊
CVE: CVE-2022-0843, CVE-2022-26381, CVE-2022-26382, CVE-2022-26383, CVE-2022-26384, CVE-2022-26385, CVE-2022-26387
IAVA: 2022-A-0103-S