Mozilla Firefox < 108.0
high Nessus Plugin ID 168652
語系：
概要
遠端 macOS 或 Mac OS X 主機上安裝的 Web 瀏覽器受到多個弱點影響。說明
遠端 macOS 或 Mac OS X 主機上安裝的 Firefox 版本比 108.0 版舊。因此，該應用程式受到 mfsa2022-51 公告中提及的多個弱點影響。- 過時的程式庫 (libusrsctp) 含有可能遭到惡意利用的弱點。
(CVE-2022-46871)
- 入侵內容處理程序的攻擊者可透過剪貼簿相關的 IPC 訊息部分逸出沙箱以讀取任意檔案。此錯誤只會影響 Linux 作業系統上的 Firefox。其他作業系統不受影響。(CVE-2022-46872)
- 由於 Firefox 未實作<code>不安全雜湊</code> CSP 指示詞，能夠將標記插入頁面 (原受內容安全性原則保護) 中的攻擊者可能已經能夠插入可執行指令碼。這會受到文件指定內容安全性原則的嚴格限制。(CVE-2022-46873)
- 具有長檔名的檔案可截斷其檔名以移除有效的副檔名，將惡意的副檔名保留在其位置。這可能導致使用者混淆和執行惡意程式碼。(CVE-2022-46874)
- 下載 .atloc 和 .ftploc 檔案時未顯示可執行檔警告，因此可在使用者的電腦上執行命令。注意：此問題僅影響 Mac OS 作業系統。其他作業系統不受影響。(CVE-2022-46875)
- 透過混淆瀏覽器，全螢幕通知可能會延遲或隱藏，進而可能導致使用者混淆或偽造攻擊。 (CVE-2022-46877)
- Mozilla 開發人員 Randell Jesup、Valentin Gosu、Olli Pettay 和 Mozilla Fuzzing 團隊報告 Firefox 107 和 Firefox ESR 102.5 版中存在記憶體安全錯誤。其中某些錯誤顯示記憶體遭到損毀，我們推測若有心人士有意操控，可能利用其中部分錯誤執行任意程式碼。(CVE-2022-46878)
- Mozilla 開發人員和社群成員 Lukas Bernhard、Gabriele Svelto 、Randell Jesup 及 Mozilla Fuzzing 團隊報告 Firefox 107 中存在記憶體安全錯誤。其中某些錯誤顯示記憶體遭到損毀，我們推測若有心人士有意操控，可能利用其中部分錯誤執行任意程式碼。(CVE-2022-46879)
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。
解決方案
升級至 Mozilla Firefox 108.0 或更新版本。另請參閱
https://www.mozilla.org/en-US/security/advisories/mfsa2022-51/
Plugin 詳細資訊
嚴重性: High
ID: 168652
檔案名稱: macos_firefox_108_0.nasl
版本: 1.9
類型: local
代理程式: macosx
已發布: 2022/12/13
已更新: 2023/2/3
支援的感應器: Nessus Agent, Nessus
風險資訊
VPR
風險因素: Medium
分數: 6.7
CVSS v2
風險因素: Critical
基本分數: 10
時間分數: 7.4
媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS 評分資料來源: CVE-2022-46879
CVSS v3
風險因素: High
基本分數: 8.8
時間分數: 7.7
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
弱點資訊
CPE: cpe:/a:mozilla:firefox
必要的 KB 項目: MacOSX/Firefox/Installed
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2022/12/13
弱點發布日期: 2022/12/13
參考資訊
CVE: CVE-2022-46871, CVE-2022-46872, CVE-2022-46873, CVE-2022-46874, CVE-2022-46875, CVE-2022-46877, CVE-2022-46878, CVE-2022-46879
IAVA: 2022-A-0517-S, 2023-A-0009-S, 2023-A-0056-S