遠端 macOS 或 Mac OS X 主機上安裝的 Mozilla Firefox ESR 版本為 45.6 之前的 45.x 版。因此，會受到以下弱點影響：- 存在多個記憶體損毀問題，例如在處理文件狀態變更或 HTML5 內容時，或者是因為解除參照已釋放的記憶體或不當驗證使用者提供的輸入所致。未經驗證的遠端攻擊者可加以惡意利用，藉此引發拒絕服務情形或執行任意程式碼。(CVE-2016-9893) - 存在一個安全性繞過弱點，這是因為即使內容安全性原則 (CSP) 不允許內嵌 JavaScript，卻仍執行跑馬燈元素的事件處理常式所致。未經驗證的遠端攻擊者可加以惡意利用，藉此影響完整性。(CVE-2016-9895) - WebGL 函式在 libGLES 中使用含有變動陣列的向量建構函式時，存在一個記憶體損毀問題。未經驗證的遠端攻擊者可加以惡意利用，藉此引發拒絕服務情形或執行任意程式碼。(CVE-2016-9897) - 處理 DOM 子目錄時，編輯器中存在一個釋放後使用錯誤 (editor/libeditor/HTMLEditor.cpp 檔案特有的問題)。未經驗證的遠端攻擊者可加以惡意利用，藉此引發拒絕服務情形或執行任意程式碼。(CVE-2016-9898) - 操控 DOM 事件並移除音訊元素時，dom/base/nsNodeUtils.cpp 檔案中的 nsNodeUtils::CloneAndAdopt() 函式存在一個釋放後使用錯誤，這是因為不當處理節點採用失敗所致。未經驗證的遠端攻擊者可加以惡意利用，藉此引發拒絕服務情形或執行任意程式碼。(CVE-2016-9899) - dom/base/nsDataDocumentContentPolicy.cpp 檔案中的 nsDataDocumentContentPolicy::ShouldLoad() 函式存在一個安全性繞過弱點，讓 SVG 影像得以利用「data:」URL 不當載入外部資源。未經驗證的遠端攻擊者可加以惡意利用,洩漏敏感的跨網域資訊。(CVE-2016-9900) - 存在一個缺陷，這是因為不當清理從 Pocket 伺服器收到的 HTML 標籤所致。未經驗證的遠端攻擊者可加以惡意利用，在 about:pocket-saved (無權限) 頁面中執行 JavaScript 程式碼，讓它得以透過 HTML 插入存取 Pocket 的傳訊 API。(CVE-2016-9901) - Pocket 工具列按鈕存在一個缺陷 (browser/extensions/pocket/content/main.js 的特有問題)，這是因為不當驗證自其本身頁面觸發的事件來源所致。未經驗證的遠端攻擊者可加以惡意利用，將其他來源的內容和指令插入 Pocket 內容中。請注意，此問題不會影響有啟用 e10s 的使用者。(CVE-2016-9902) - 存在一個資訊洩漏弱點，讓未經驗證的遠端攻擊者得以利用 JavaScript Map/Set 定時攻擊，判斷特定內容中的另一個區間或區域是否有使用服務元。(CVE-2016-9904) - 新增和移除子文件時，dom/base/nsDocument.cpp 檔案中的 nsDocument::EnumerateSubDocuments() 函式存在一個記憶體損毀問題。未經驗證的遠端攻擊者可加以惡意利用，透過特製的網頁，藉此引發拒絕服務情形或執行任意程式碼。(CVE-2016-9905)

偵測

Mozilla Firefox ESR 45.x < 45.6 Multiple Vulnerabilities (macOS)

critical Nessus Plugin ID 95883

找不到變更記錄