Mozilla Firefox 已更新至 27 版。Mozilla SeaMonkey 已更新至 2.24，可修正與 Firefox 27 類似的問題。Mozilla Thunderbird 已更新至 24.3.0，可修正與 Firefox 27 類似的問題。

Firefox 27 版提供 TLS 1.2 支援作為主要安全性功能。

此更新亦會修正下列安全性問題：

- MFSA 2014-01/CVE-2014-1477/CVE-2014-1478 其他記憶體安全危險 (rv:27.0 / rv:24.3)

- MFSA 2014-02/CVE-2014-1479 (bmo#911864) 使用 XBL 範圍複製受保護內容

- MFSA 2014-03/CVE-2014-1480 (bmo#916726) 在出現下載提示時，遺漏 UI 選取逾時

- MFSA 2014-04/CVE-2014-1482 (bmo#943803) 錯誤使用 RasterImage 捨棄的影像

- MFSA 2014-05/CVE-2014-1483 (bmo#950427) iframes 上 *FromPoint 的資訊洩漏

- MFSA 2014-06/CVE-2014-1484 (bmo#953993) 設定檔路徑洩漏至 Android 系統記錄檔

- MFSA 2014-07/CVE-2014-1485 (bmo#910139) 將 XSLT 樣式表視為內容安全性原則中的樣式

- MFSA 2014-08/CVE-2014-1486 (bmo#942164) imgRequestProxy 和影像處理發生釋放後使用問題

- MFSA 2014-09/CVE-2014-1487 (bmo#947592) 透過 web 背景工作發生的跨來源資訊洩漏

- MFSA 2014-10/CVE-2014-1489 (bmo#959531) Firefox 預設起始頁面 UI 內容可由指令碼叫用

- MFSA 2014-11/CVE-2014-1488 (bmo#950604) 在將 Web 背景工作與 asm.js 搭配使用時當機

- MFSA 2014-12/CVE-2014-1490/CVE-2014-1491 (bmo#934545、bmo#930874、bmo#930857) NSS 票證處理問題

- MFSA 2014-13/CVE-2014-1481(bmo#936056) 對 Window 物件存取權的不一致 JavaScript 處理

Mozilla NSS 已更新至 3.15.4：

- Firefox 27 的必要項目

- 定期 CA root 儲存更新 (1.96)

- 已重新排序在 SSL/TLS 用戶端 hello 訊息中提供的加密套件，以符合最新的最佳做法。

- 已改善 SSL/TLS false start。除了啟用 SSL_ENABLE_FALSE_START 選項外，應用程式現在還必須使用 SSL_SetCanFalseStartCallback 函式註冊回呼。

- false start 功能啟用時，libssl 有時會從 PR_Recv 傳回未加密且未經驗證的資料 (CVE-2013-1740、bmo#919877)

- MFSA 2014-12/CVE-2014-1490/CVE-2014-1491 NSS 票證處理問題新功能

- 已使用 HTTP GET 方法實作 OCSP 查詢，這是新的預設做法，且將回復為 HTTP POST 方法。

- 已針對測試的目的實作 OCSP 伺服器功能 (httpserv 公用程式)。

- 支援 TLS 1.2 用戶端驗證的 SHA-1 簽章。

- 已將 --empty-password 命令行選項新增至 certutil，以與 -N 搭配使用：建立新資料庫時使用空白密碼。

- 已將 -w 命令行選項新增至 pp：不對長輸出行換行。

Mozilla Project 報告：

MFSA 2014-01 其他記憶體安全性危險 (rv:27.0 / rv:24.3)

MFSA 2014-02 使用 XBL 範圍複製受保護內容

MFSA 2014-03 在出現下載提示時，遺漏 UI 選取逾時

MFSA 2014-04 錯誤使用 RasterImage 捨棄的影像

MFSA 2014-05 iframes 上 *FromPoint 的資訊洩漏

MFSA 2014-06 設定檔路徑洩漏至 Android 系統記錄檔

MFSA 2014-07 將 XSLT 樣式表視為內容安全性原則中的樣式

MFSA 2014-08 imgRequestProxy 和影像處理發生釋放後使用問題

MFSA 2014-09 透過 web 背景工作發生的跨來源資訊洩漏

MFSA 2014-10 Firefox 預設起始頁面 UI 內容可由指令碼叫用

MFSA 2014-11 在將 Web 背景工作與 asm.js 搭配使用時當機

MFSA 2014-12 NSS 票證處理問題

MFSA 2014-13 對 Window 物件存取權的不一致 JavaScript 處理

這會將 Mozilla Firefox 瀏覽器更新至 24.3.0ESR 安全性版本。Mozilla NSS 程式庫現在為 3.15.4 版。

下列安全性問題已修正：

- 記憶體安全錯誤已在 Firefox ESR 24.3 和 Firefox 27.0 中修正 (CVE-2014-1477)(bnc#862345)。(MFSA 2014-01)

- 使用 XBL 範圍可能可以竊取 (複製) 原生匿名內容 (CVE-2014-1479)(bnc#862348)。(MFSA 2014-02)

- 下載「open file」對話方塊延遲太快，無法防止點擊劫持。(CVE-2014-1480)。(MFSA 2014-03)

- 影像解碼會導致 FireFox 因 Goo Create 而損毀 (CVE-2014-1482)(bnc#862356)。(MFSA 2014-04)

- caretPositionFromPoint 和 elementFromPoint 會透過計時資訊而洩漏有關 iframe 內容的資訊 (CVE-2014-1483)(bnc#862360)。(MFSA 2014-05)

- Fennec 會將設定檔路徑洩漏至 logcat。(CVE-2014-1484)。
 (MFSA 2014-06)

- CSP 應該將 XSLT 當作指令碼來阻擋，而不是當作樣式。
 (CVE-2014-1485)。(MFSA 2014-07)

- imgRequestProxy 釋放後使用遠端程式碼執行弱點。(CVE-2014-1486)。(MFSA 2014-08)

- 跨來源資訊洩漏並出現 Web 背景工作的錯誤訊息。(CVE-2014-1487)。(MFSA 2014-09)

- 設定與歷程記錄 ID 錯誤。(CVE-2014-1489)。(MFSA 2014-10)

- 在背景工作和可傳輸的物件中使用 asm.js 程式碼時，Firefox 會重複性損毀。(CVE-2014-1488)。(MFSA 2014-11)

- TOCTOU，在 libssl 的工作階段票證處理中可能有釋放後使用 (CVE-2014-1490)(bnc#862300) 不允許 p-1 作為公開 DH 值 (CVE-2014-1491)(bnc#862289)。(MFSA 2014-12)

- 在視窗上叫用 getter 時，這個值不一致 (CVE-2014-1481)(bnc#862309)。(MFSA 2014-13)

ID	名稱	產品	系列	已發布	已更新	嚴重性
75253	openSUSE 安全性更新：firefox / seamonkey / thunderbird (openSUSE-SU-2014:0212-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	critical
72312	FreeBSD：mozilla -- 多個弱點 (1753f0ff-8dd5-11e3-9b45-b4b52fce4ce8)	Nessus	FreeBSD Local Security Checks	2014/2/5	2021/1/6	critical
72554	SuSE 11.3 安全性更新：MozillaFirefox (SAT 修補程式編號 8879)	Nessus	SuSE Local Security Checks	2014/2/18	2021/1/19	critical

偵測

搜尋 Plugin

critical

critical

critical