MiracleLinux 3firefox-3.6.9-2.0.1.AXS3、nspr-4.8.6-1.AXS3、nss-3.12.7-2.AXS3、xulrunner-1.9.2.9-1.0.1.AXS3 (AXSA:2010 -445:06)
medium Nessus Plugin ID 284240
語言:
概要
遠端 MiracleLinux 主機缺少一個或多個安全性更新。說明
遠端 MiracleLinux 3 主機已安裝受到多個弱點影響的套件如 AXSA:2010-445:06 公告中所提及。Mozilla Firefox 是開放原始碼網頁瀏覽器專為標準合規性、效能和可攜性而設計。
NSPR 為非 GUI 作業系統機能提供平台獨立性。這些機能包括執行緒、執行緒同步、一般檔案與網路 I/O、間隔計時與行事歷時間、基本記憶體管理 (malloc 與 free) 以及共用程式庫連結。
Network Security Services (NSS) 是一組程式庫，專用於支援啟用安全性之用戶端及伺服器應用程式的跨平台開發。以 NSS 構建的應用程式可支援 SSL v2 和 v3、TLS、PKCS #5、PKCS #7、PKCS #11、PKCS #12、S/MIME、X.509 v3 憑證及其他安全性標準。
XULRunner 為 Gecko 應用程式提供 XUL 執行階段環境。
此版本修正的安全性問題
CVE-2010-2760 在 [ 3.5.12 之前的 Mozilla Firefox 和 3.6.x ] 之前的 3.6.9中、 3.0.7 之前的 Thunderbird 和 3.1.x3.1.3之前的 [] 以及 2.0.7 之前的 SeaMonkey 中的釋放後使用弱點可能允許遠端攻擊者透過涉及 XUL 樹狀結構選取的向量其與懸置指標弱點有關。注意：此問題之所以存在，是因為 CVE-2010-2753 的修正不完整。
CVE-2010-2762 在 [ 3.6.x 之前的 Mozilla Firefox 3.6.9 和 [] 之前的 Thunderbird 3.1.x3.1.3 中SafeJSObjectWrapper (即 SJOW) 實作的 XPCSafeJSObjectWrapper 類別未正確限制範圍鏈末端的物件進而允許遠端攻擊者執行使用透過向量相關的 chrome 權限該向量與具 chrome 權限的物件和結束於外部物件的鏈結有關。
CVE-2010-2764 之前的 Mozilla Firefox 和 3.5.123.6.x 之前的 3.6.9、 3.0.7 之前的 Thunderbird 和 3.1.x 之前的 3.1.3]以及 2.0.7 之前的 SeaMonkey並未正確限制對 XMLHttpRequest 物件之 statusText 內容的讀取存取權其可允許遠端攻擊者發現透過跨來源要求存在的內部網路 Web 伺服器。
CVE-2010-2765 在 3.5.12 之前的 Mozilla Firefox 和 [ ] 之前的 3.6.x 中FRAMESET 元素實作、 3.6.9之前的 Thunderbird 和 [] 之前的 3.0.7 以及 3.1.x3.1.3之前的 SeaMonkey 以及 2.0.7 之前的 SeaMonkey 中FRAMESET 元素實作有整數溢位可能允許遠端攻擊者透過大量數字執行任意程式碼cols (即 columns) 屬性中的一個 值進而導致堆積型緩衝區溢位。
CVE-2010-2766 在 Mozilla Firefox 3.5.12 [] 之前的 和 3.6.x ] 之前的 3.6.9、Thunderbird [] 之前的 3.0.7 和 3.1.x3.1.3] 之前的 以及 SeaMonkey 之前 2.0.7 中的 normalizeDocument 函式在標準化期間未正確處理 DOM 節點的移除其可能允許遠端攻擊者可透過涉及存取已刪除物件的向量執行任意程式碼。
CVE-2010-2767 在 3.5.12 之前的 Mozilla Firefox 和 3.6.x3.6.9] 之前的 、Thunderbird [] 之前的 3.0.7 和 3.1.x 之前的 3.1.3以及 SeaMonkey 之前的 2.0.7 中navigator.plugins 實作未正確處理 DOM 外掛程式陣列的破壞其可能允許遠端攻擊者可透過對導覽器物件的特製存取造成拒絕服務 (應用程式損毀) 或執行任意程式碼此問題與懸置指標弱點相關。
CVE-2010-2768 在 3.5.12 之前的版本和 3.6.x ] 之前的 3.6.9] Mozilla Firefox、 3.0.7 之前的 Thunderbird 和 3.1.x3.1.3之前的 ]以及 2.0.7 之前的 SeaMonkey 並未正確限制使用 OBJECT 元素的類型屬性來設定文件的字元集這允許遠端攻擊者透過 UTF-7 編碼繞過跨網站指令碼 (XSS) 保護機制。
CVE-2010-2769 之前的 Mozilla Firefox 3.5.12 之前的 [ 3.6.x 和 3.6.9[] 之前的 、Thunderbird 3.0.7 之前的 3.1.x ] 之前的 3.1.3以及 SeaMonkey 之前的 2.0.7 中的跨網站指令碼 (XSS) 弱點可讓使用者協助的遠端攻擊者插入任意 Web 指令碼或 HTML透過新增至已啟用 designMode 內容之文件的選取項目。
CVE-2010-3166 在 3.5.12 之前的 Mozilla Firefox 和 3.6.x3.6.9] 之前的 中、 3.0.7 之前的 Thunderbird、 3.1.x 之前的 3.1.3] 以及 [ 2.0.7 之前的 SeaMonkey 中nsTextFrameUtils::TransformText 函式中的堆積型緩衝區溢位可允許遠端攻擊者執行任意透過雙向文字執行程式碼。
CVE-2010-3167 在 Mozilla Firefox 3.5.12 之前的 [] 和 3.6.x3.6.9] 之前的 、Thunderbird [] 之前的 3.0.7 和 3.1.x 之前的 3.1.3以及 SeaMonkey 之前 2.0.7 中的 nsTreeContentView 函式未正確處理 XUL 樹狀結構中的節點移除允許遠端攻擊者執行透過涉及存取刪除記憶體的向量造成的任意程式碼與懸置指標弱點有關。
CVE-2010-3168 之前的 Mozilla Firefox 和 3.5.123.6.x 之前的 3.6.9、[ 3.0.7 之前的 Thunderbird 和 3.1.x3.1.3之前的 ]以及 2.0.7 之前的 SeaMonkey在觸發 XUL 樹狀結構移除過程中並未正確限制內容變更的角色這可讓遠端攻擊者設定不明內容可造成拒絕服務 (刪除的記憶體存取和應用程式損毀) 或可能執行任意程式碼。
CVE-2010-3169 在 3.5.12 之前的 Mozilla Firefox 和 3.6.x ] 之前的 3.6.9、 3.0.7 之前的 Thunderbird 3.1.x 之前的 3.1.3] 以及 2.0.7 之前的 SeaMonkey 中瀏覽器引擎有多個不明弱點允許遠端攻擊者造成拒絕服務 (記憶體損毀和應用程式損毀) 或可能透過未知向量執行任意程式碼。
Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
更新受影響的 firefox 和/或 xulrunner 套件。另請參閱
Plugin 詳細資訊
嚴重性: Medium
ID: 284240
檔案名稱: miracle_linux_AXSA-2010-445.nasl
版本: 1.1
類型: local
已發布: 2026/1/14
已更新: 2026/1/14
支援的感應器: Nessus Agent, Nessus
風險資訊
VPR
風險因素: Medium
分數: 6.7
Vendor
Vendor Severity: High
CVSS v2
風險因素: High
基本分數: 9.3
時間性分數: 6.9
媒介: CVSS2#AV:N/AC:M/Au:N/C:C/I:C/A:C
CVSS 評分資料來源: CVE-2010-3169
CVSS v3
風險因素: Medium
基本分數: 6.1
時間性分數: 5.3
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
CVSS 評分資料來源: CVE-2010-2768
弱點資訊
CPE: p-cpe:/a:miracle:linux:xulrunner, p-cpe:/a:miracle:linux:firefox, cpe:/o:miracle:linux:3
必要的 KB 項目: Host/local_checks_enabled, Host/cpu, Host/MiracleLinux/release, Host/MiracleLinux/rpm-list
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2010/9/15
弱點發布日期: 2010/9/7
參考資訊
CVE: CVE-2010-2760, CVE-2010-2762, CVE-2010-2764, CVE-2010-2765, CVE-2010-2766, CVE-2010-2767, CVE-2010-2768, CVE-2010-2769, CVE-2010-3166, CVE-2010-3167, CVE-2010-3168, CVE-2010-3169