openSUSE 安全性更新:MozillaFirefox / mozilla-nss (openSUSE-2016-960)

critical Nessus Plugin ID 92853

概要

遠端 openSUSE 主機缺少安全性更新。

說明

Mozilla Firefox 已更新至 48.0 版,修正了安全性問題、錯誤並提供多種改善功能。

包含下列重大變更:

- 對某些使用者啟用處理程序分隔 (e10s) 功能

- 未經過 Mozilla 驗證和簽署的附加元件將不會載入

- WebRTC 增強功能

- 已使用 Rust 程式設計語言重新開發媒體剖析器

- 透過快速的 Skia 支援提供更優異的 Canvas 效能

- 現在需要 NSS 3.24

已修正下列安全性問題:(boo#991809)

- CVE-2016-2835/CVE-2016-2836:其他記憶體安全危險

- CVE-2016-2830:關閉頁面時 Favicon 網路連線會持續

- CVE-2016-2838:轉譯含雙向內容的 SVG 時發生緩衝區溢位

- CVE-2016-2839:Cairo 轉譯因 FFmpeg 0.10 的記憶體配置問題而損毀

- CVE-2016-5251:透過含有格式錯誤/無效媒體類型的資料 URL 偽造位置列

- CVE-2016-5252:2D 圖形轉譯期間發生堆疊反向溢位

- CVE-2016-0718:在 Expat 程式庫中剖析 XML 期間出現超出邊界讀取問題

- CVE-2016-5254:使用 alt 鍵和頂層功能表時出現釋放後使用問題

- CVE-2016-5255:JavaScript 中的累加記憶體回收作業損毀

- CVE-2016-5258:WebRTC 工作階段關閉期間 DTLS 出現釋放後使用問題

- CVE-2016-5259:含有巢狀同步事件的服務背景工作出現釋放後使用問題

- CVE-2016-5260:表單輸入類型從密碼變更為文字,可將純文字密碼儲存在工作階段還原檔案中

- CVE-2016-5261:資料緩衝期間 WebSockets 中發生整數溢位

- CVE-2016-5262:marquee 標籤上的指令碼可在沙箱 iframe 中執行

- CVE-2016-2837:播放視訊期間 ClearKey 內容解密模組 (CDM) 中發生緩衝區溢位

- CVE-2016-5263:顯示轉換出現類型混淆問題

- CVE-2016-5264:套用 SVG 效果時發生釋放後使用問題

- CVE-2016-5265:使用本機 HTML 檔案和已儲存的捷徑檔案時發生同源原則違規情形

- CVE-2016-5266:透過拖放洩漏資訊和操縱本機檔案

- CVE-2016-5268:透過將文字插入內部錯誤頁面中來發動偽造攻擊

- CVE-2016-5250:頁面導覽期間透過 Resource Timing API 洩漏資訊

包含下列非安全性變更:

- AppData 描述和螢幕擷取畫面已更新。

- 修正 i586 上的 Firefox 啟動時當機問題 (boo#986541)

- Selenium WebDriver 可能造成 Firefox 在啟動時當機

- 修正 Leap 42.2 中使用的 gcc/binutils 組合之版本問題 (boo#984637)

- 修正在 48 位元 va aarch64 上執行 (boo#984126)

- 修正 KDE 工作階段底下的 XUL 對話方塊按鈕 (boo#984403)

Mozilla NSS 已更新至 3.24 版做為相依性。

mozilla-nss 中的變更:

- NSS softoken 已依據最新的 NIST 指引更新

- NSS softoken 已更新,現允許 NSS 在 FIPS 層級 1 (無密碼) 執行

- 多種新增和過時的函式

- 移除多數與 SSL v2 有關的程式碼,包括主動傳送 SSLv2 相容用戶端 hello 的功能。

- 防範 Cachebleed 攻擊。

- 停用對 DTLS 壓縮的支援。

- 改善對 TLS 1.3 的支援。其中包括對 DTLS 1.3 的支援。(實驗性質)

解決方案

更新受影響的 MozillaFirefox / mozilla-nss 套件。

另請參閱

https://bugzilla.opensuse.org/show_bug.cgi?id=984126

https://bugzilla.opensuse.org/show_bug.cgi?id=984403

https://bugzilla.opensuse.org/show_bug.cgi?id=984637

https://bugzilla.opensuse.org/show_bug.cgi?id=986541

https://bugzilla.opensuse.org/show_bug.cgi?id=991809

Plugin 詳細資訊

嚴重性: Critical

ID: 92853

檔案名稱: openSUSE-2016-960.nasl

版本: 2.8

類型: local

代理程式: unix

已發布: 2016/8/11

已更新: 2021/1/19

支援的感應器: Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus

風險資訊

VPR

風險因素: Medium

分數: 6.7

CVSS v2

風險因素: High

基本分數: 7.5

媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P

CVSS v3

風險因素: Critical

基本分數: 9.8

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

弱點資訊

CPE: cpe:/o:novell:opensuse:13.1, p-cpe:/a:novell:opensuse:mozillafirefox, p-cpe:/a:novell:opensuse:mozillafirefox-branding-upstream, p-cpe:/a:novell:opensuse:mozillafirefox-buildsymbols, p-cpe:/a:novell:opensuse:mozillafirefox-debuginfo, p-cpe:/a:novell:opensuse:mozillafirefox-debugsource, p-cpe:/a:novell:opensuse:mozillafirefox-devel, p-cpe:/a:novell:opensuse:mozillafirefox-translations-common, p-cpe:/a:novell:opensuse:mozillafirefox-translations-other, p-cpe:/a:novell:opensuse:libfreebl3, p-cpe:/a:novell:opensuse:libfreebl3-32bit, p-cpe:/a:novell:opensuse:libfreebl3-debuginfo, p-cpe:/a:novell:opensuse:libfreebl3-debuginfo-32bit, p-cpe:/a:novell:opensuse:libsoftokn3, p-cpe:/a:novell:opensuse:libsoftokn3-32bit, p-cpe:/a:novell:opensuse:libsoftokn3-debuginfo, p-cpe:/a:novell:opensuse:libsoftokn3-debuginfo-32bit, p-cpe:/a:novell:opensuse:mozilla-nss, p-cpe:/a:novell:opensuse:mozilla-nss-32bit, p-cpe:/a:novell:opensuse:mozilla-nss-certs, p-cpe:/a:novell:opensuse:mozilla-nss-certs-32bit, p-cpe:/a:novell:opensuse:mozilla-nss-certs-debuginfo, p-cpe:/a:novell:opensuse:mozilla-nss-certs-debuginfo-32bit, p-cpe:/a:novell:opensuse:mozilla-nss-debuginfo, p-cpe:/a:novell:opensuse:mozilla-nss-debuginfo-32bit, p-cpe:/a:novell:opensuse:mozilla-nss-debugsource, p-cpe:/a:novell:opensuse:mozilla-nss-devel, p-cpe:/a:novell:opensuse:mozilla-nss-sysinit, p-cpe:/a:novell:opensuse:mozilla-nss-sysinit-32bit, p-cpe:/a:novell:opensuse:mozilla-nss-sysinit-debuginfo, p-cpe:/a:novell:opensuse:mozilla-nss-sysinit-debuginfo-32bit, p-cpe:/a:novell:opensuse:mozilla-nss-tools, p-cpe:/a:novell:opensuse:mozilla-nss-tools-debuginfo

必要的 KB 項目: Host/local_checks_enabled, Host/SuSE/release, Host/SuSE/rpm-list, Host/cpu

修補程式發佈日期: 2016/8/10

參考資訊

CVE: CVE-2016-0718, CVE-2016-2830, CVE-2016-2835, CVE-2016-2836, CVE-2016-2837, CVE-2016-2838, CVE-2016-2839, CVE-2016-5250, CVE-2016-5251, CVE-2016-5252, CVE-2016-5254, CVE-2016-5255, CVE-2016-5258, CVE-2016-5259, CVE-2016-5260, CVE-2016-5261, CVE-2016-5262, CVE-2016-5263, CVE-2016-5264, CVE-2016-5265, CVE-2016-5266, CVE-2016-5268