遠端 MiracleLinux 3 主機已安裝一個受到 AXSA:2009-128:01 公告中所提及的多個弱點影響的套件。

    Mozilla Firefox 是開放原始碼網頁瀏覽器專為標準合規性、效能和可攜性而設計。
    修正的錯誤：
    CVE-2009-1302 在 Mozilla Firefox 3.x 之前的 3.0.9、Thunderbird 2.0.0.22之前的版本以及 SeaMonkey 之前的 1.1.16 中瀏覽器引擎允許遠端攻擊者透過與 (1) nsAsyncInstantiateEvent 相關的向量造成拒絕服務 (應用程式損毀) 且可能觸發記憶體損毀::Run、(2) nsStyleContext::Destroy、(3) nsComputedDOMStyle::GetWidth、(4) XSLT 樣式表編譯器的 xslt_attributeset_ImportSameName.html 測試案例、(5) nsXULDocument::SynchronizeBroadcastListener、(6) IsBindingAncestor、 (7 ) PL_DHashTableOperate 和 nsEditor::EndUpdateViewBatch以及 (8) gfxSkipCharsIterator::SetOffsets及其他向量。
    CVE-2009-1303 在 3.0.9之前的 Mozilla Firefox、 2.0.0.22之前的 Thunderbird以及 1.1.16 之前的 SeaMonkey 中瀏覽器引擎允許遠端攻擊者透過與 nsSVGElement::BindToTree 相關的向量造成拒絕服務 (應用程式損毀) 且可能觸發記憶體損毀。
    CVE-2009-1304 在 Mozilla Firefox 3.x 在 3.0.9之前的版本、Thunderbird 2.0.0.22之前的版本以及 SeaMonkey 1.1.16 之前的版本中JavaScript 引擎允許遠端攻擊者透過涉及 (1) js_FindPropertyHelper 的向量造成拒絕服務 (應用程式損毀) 且可能觸發記憶體損毀。與「數學」和「日期」的定義相關；和 (2) js_CheckRedeclaration。
    CVE-2009-1305 在 3.0.9之前的 Mozilla Firefox、 2.0.0.22之前的 Thunderbird以及 1.1.16 之前的 SeaMonkey 中JavaScript 引擎允許遠端攻擊者透過涉及 JSOP_DEFVAR 的向量和缺少 JSPROP_PERMANENT 的內容造成拒絕服務 (應用程式損毀) 並可能觸發記憶體損毀。屬性。
    CVE-2009-1306 在 3.0.9之前的 Mozilla Firefox、Thunderbird 和 SeaMonkey 中jarURI 實作未遵循內部 URI 的 Content-Disposition 標頭其允許遠端攻擊者透過透過上傳的 .jar 檔案具有 Content-Disposition
    附件指定。
    CVE-2009-13073.0.9之前的 Mozilla Firefox、Thunderbird 和 SeaMonkey 中的 view-source: URI 實作未正確實作同源原則其允許遠端攻擊者 (1) 繞過 crossdomain.xml 限制並透過Flash 檔案(2) 透過 Flash 檔案讀取、建立或修改本機共用物件(3) 透過涉及 jar: URI 的向量繞過不明限制並轉譯內容。
    CVE-2009-1308 在 3.0.9之前的 Mozilla Firefox、Thunderbird 和 SeaMonkey 中跨網站指令碼 (XSS) 弱點允許遠端攻擊者透過涉及 XBL JavaScript 系結和遠端樣式表的向量插入任意 Web 指令碼或 HTML2009 年 3 月ebay 清單。
    CVE-2009-13093.0.9之前的 Mozilla Firefox、Thunderbird 和 SeaMonkey 並未針對 (1) XMLHttpRequest (涉及文件主體不相符) 以及 (2) XPCNativeWrapper.toString (涉及不正確的 __proto__ 範圍) 正確實作同源原則這會允許攻擊者可藉此透過特製文件發動跨網站指令碼 (XSS) 攻擊且可能發動其他攻擊。
    CVE-2009-1310 在 3.0.9 之前的 Mozilla Firefox 中MozSearch 外掛程式實作內的跨網站指令碼 (XSS) 弱點允許使用者協助的遠端攻擊者透過 SearchForm 元素中的 javascript: URI 插入任意 Web 指令碼或 HTML。
    CVE-2009-1311 在 3.0.9 之前的 Mozilla Firefox 和 1.1.17 之前的 SeaMonkey 允許使用者協助的遠端攻擊者透過具有內嵌框架的網頁取得敏感資訊這會造成在執行 SAVEMODE_FILEONLY 期間外部頁面的 POST 資料傳送至內部框架的 URL。儲存內部框架。
    CVE-2009-13123.0.9 之前的 Mozilla Firefox 和 SeaMonkey 未封鎖 javascript: HTTP 回應之 Refresh 標頭中的 URI這允許遠端攻擊者透過與 (1) 插入 Refresh 標頭或 (2 ) 指定 Refresh 標頭的內容。注意據後來報告Mozilla 1.7.x 和更舊版本也受到影響。
    CVE-2009-1313 在 Mozilla Firefox 3.0.9 的 layout/generic/nsTextFrameThebes.cpp 中nsTextFrame::ClearTextRun 函式 [] 允許遠端攻擊者透過不明向量造成拒絕服務 (記憶體損毀)且可能執行任意程式碼。注意據報此弱點之所以存在是因為 CVE-2009-1302的修正不正確。
    其他錯誤
     - 重新定位功能表項目中的 Firefox

Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

MiracleLinux 3firefox-3.0.10-1.2AXS3 (AXSA:2009-128:01)

medium Nessus Plugin ID 284432

版本 1.1