遠端 MiracleLinux 3 主機已安裝受到 AXSA:2009-419:04 公告中所提及的多個弱點影響的套件。

    Mozilla Firefox 是開放原始碼網頁瀏覽器專為標準合規性、效能和可攜性而設計。
    NSPR 為非 GUI 作業系統機能提供平台獨立性。這些機能包括執行緒、執行緒同步、一般檔案與網路 I/O、間隔計時與行事歷時間、基本記憶體管理 (malloc 與 free) 以及共用程式庫連結。
    XULRunner 為 Gecko 應用程式提供 XUL 執行階段環境。
    隨附 nspr 套件此版本修正的安全性錯誤
    CVE-2009-1563 Mozilla Firefox 之前的 3.0.x3.0.15 和 3.5.x 之前的 3.5.4 中的陣列索引錯誤允許遠端攻擊者透過長字串 (轉換為浮點數期間觸發不正確的記憶體配置和堆積型緩衝區溢位) 執行任意程式碼。
    CVE-2009-3274 Linux 上的 Mozilla Firefox 3.6a1、 3.5.2和更舊的 2.x 和 3.x 版針對從「下載」視窗中選取的檔案使用可預測的 /tmp 路徑名稱其允許本機使用者將檔案放在發生下載前的 /tmp 位置其可能與 Archive Manager 元件有關。
    注意： 上述詳細資料中有部分是來自第三方資訊。
    CVE-2009-33703.0.15之前的 Mozilla Firefox 和 3.5.x 之前的 3.5.4允許遠端攻擊者透過偽造利用自動填入功能在攻擊者可讀取的表單中以歷程記錄項目填入表單欄位的滑鼠和鍵盤事件讀取表單歷程記錄。
    CVE-2009-3372 在 3.0.15 之前的 Mozilla Firefox、 3.5.x3.5.4] 之前的 以及 2.0之前的 SeaMonkey 允許遠端攻擊者透過代理伺服器自動組態 (PAC) 檔案中的特製規則運算式執行任意程式碼。
    CVE-2009-3373 在 3.0.15 之前的 Mozilla Firefox 和 [ 3.5.4] 之前的 3.5.x 以及 2.0之前的 SeaMonkey 中GIF 影像剖析器存在堆積型緩衝區溢位允許遠端攻擊者透過不明向量執行任意程式碼。
    CVE-2009-3374 在 Mozilla Firefox 3.0.x 之前的 3.0.15 和 3.5.x 之前的 3.5.4 中XPCOM 實作中的 XPCVariant::VariantDataToJS 函式並未對 Chrome 有權限程式碼與從遠端網站取得之物件之間的互動強制執行預定的限制其可允許遠端攻擊者透過不明的方法呼叫以 chrome 權限執行任意 JavaScript (與雙重包裝的物件相關)。
    在 Mozilla Firefox 3.0.x 之前的 3.0.15 和 3.5.x 之前的 3.5.4 中CVE-2009-3375 content/html/document/src/nsHTMLDocument.cpp 允許遠端攻擊者透過 document.getSelection 繞過同源原則並讀取任意內容選取函式。
    CVE-2009-3376 在 3.0.15 之前的 Mozilla Firefox 和 3.5.x3.5.4之前的  ] 以及 2.0之前的 SeaMonkey 未正確處理下載檔案名稱中由右至左覆寫 (即 RLO 或 U+202E) Unicode 字元其允許遠端攻擊者透過特製的檔案名稱來偽造副檔名將可執行檔案顯示為非可執行的副檔名即為一例。
    CVE-2009-3380 在 Mozilla Firefox 3.0.x 之前的 3.0.15 和 3.5.x 之前的 3.5.4 中瀏覽器引擎有多個不明弱點允許遠端攻擊者透過未知向量造成拒絕服務 (記憶體損毀和應用程式損毀)或可能執行任意程式碼。
    在 [] 版之前的 Mozilla Firefox 3.0.x3.0.15 中瀏覽器引擎中的CVE-2009-3382 layout/base/nsCSSFrameConstructor.cpp 未正確處理首字母框架進而允許遠端攻擊者造成拒絕服務 (記憶體損毀和應用程式損毀) 或可能執行透過不明向量造成的任意程式碼。

Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

MiracleLinux 3firefox-3.0.15-3.1AXS3 (AXSA:2009-419:04)

critical Nessus Plugin ID 284333

版本 1.1