GLSA-202402-26：Mozilla Firefox：多個弱點

high Nessus Plugin ID 190762

語系：

說明

遠端主機受到 GLSA-202402-26 中所述的弱點影響 (Mozilla Firefox：多個弱點)

- ANGLE 中的超出邊界寫入可能會允許攻擊者損毀記憶體，進而導致可能遭到惡意利用的當機。此弱點會影響 Firefox < 122、Firefox ESR < 115.7 和 Thunderbird < 115.7。
(CVE-2024-0741)

- 由於頁面載入後使用錯誤時間戳記來阻止輸入，可能導致使用者意外啟用或關閉特定瀏覽器提示和對話方塊。此弱點會影響 Firefox < 122、Firefox ESR < 115.7 和 Thunderbird < 115.7。(CVE-2024-0742)

- TLS 交握程式碼中有一個未經檢查的傳回值，可能已造成可遭利用的程式損毀問題。此弱點會影響 Firefox < 122。(CVE-2024-0743)

- 在某些情況下，JIT 編譯的程式碼可解除參照野指標值。這可導致可能遭利用的程式損毀問題。此弱點會影響 Firefox < 122。(CVE-2024-0744)

- WebAudio「OscillatorNode」物件容易發生堆疊緩衝區溢位，這可導致可能遭利用的程式損毀問題。此弱點會影響 Firefox < 122。(CVE-2024-0745)

- 開啟列印預覽對話方塊的 Linux 使用者可造成瀏覽器損毀。此弱點會影響 Firefox < 122、Firefox ESR < 115.7 和 Thunderbird < 115.7。(CVE-2024-0746)

- 當父項頁面在具有「unsafe-inline」的 iframe 中載入子項時，父項內容安全性原則可覆寫子項內容安全性原則。此弱點會影響 Firefox < 122、Firefox ESR < 115.7 和 Thunderbird < 115.7。(CVE-2024-0747)

- 遭入侵的內容處理程序可更新文件 URI，這可允許攻擊者在位址列或歷程記錄中設定任意 URI。此弱點會影響 Firefox < 122。
(CVE-2024-0748)

- 網路釣魚網站可能會改變「about: ` 對話方塊的用途，在位址列中顯示來源不正確的網路釣魚內容。此弱點會影響 Firefox < 122 和 Thunderbird < 115.7。(CVE-2024-0749)

- 快顯通知延遲計算中存在錯誤，攻擊者可利用此錯誤誘騙使用者授予權限。此弱點會影響 Firefox < 122、Firefox ESR < 115.7 和 Thunderbird < 115.7。(CVE-2024-0750)

- 惡意的 devtools 延伸模組可用來提升權限。此弱點會影響 Firefox < 122、Firefox ESR < 115.7 和 Thunderbird < 115.7。(CVE-2024-0751)

- 如果在非常忙碌的系統上套用 Firefox 更新，macOS 可能會發生釋放後使用造成的當機。這可導致可能遭利用的程式損毀問題。此弱點會影響 Firefox < 122。
(CVE-2024-0752)

- 在特定 HSTS 設定中，攻擊者可繞過子網域上的 HSTS。此弱點會影響 Firefox < 122、Firefox ESR < 115.7 和 Thunderbird < 115.7。(CVE-2024-0753)

- 某些 WASM 來源檔案可能會在 devtools 中載入時造成當機。此弱點會影響 Firefox < 122。(CVE-2024-0754)

- Firefox 121、Firefox ESR 115.6 和 Thunderbird 115.6 中存在記憶體安全錯誤。某些錯誤顯示記憶體會遭到損毀，我們推測若有心人士有意操控，可能惡意利用其中部分錯誤執行任意程式碼。此弱點會影響 Firefox < 122、Firefox ESR < 115.7 和 Thunderbird < 115.7。(CVE-2024-0755)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

解決方案

所有 Mozilla Firefox ESR 使用者皆應升級至最新版本：

# emerge --sync # emerge --ask --oneshot --verbose >=www-client/firefox-115.7.0: esr 所有 Mozilla Firefox ESR 二進位使用者皆應升級至最新版本：

# emerge --sync # emerge --ask --oneshot --verbose >=www-client/firefox-bin-115.7.0: esr 所有 Mozilla Firefox 使用者皆應升級至最新版本：

# emerge --sync # emerge --ask --oneshot --verbose >=www-client/firefox-122.0: rapid 所有 Mozilla Firefox 二進位使用者皆應升級至最新版本：

# emerge --sync # emerge --ask --oneshot --verbose >=www-client/firefox-bin-122.0: rapid