來自 Red Hat 安全性公告 2016:1217：

現已提供 Red Hat Enterprise Linux 5、Red Hat Enterprise Linux 6 和 Red Hat Enterprise Linux 7 適用的 firefox 的更新。

Red Hat 產品安全性團隊已將此更新評等為具有重大安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Mozilla Firefox 是開放原始碼的網頁瀏覽器。

此更新將 Firefox 升級至 45.2.0 ESR 版。

安全性修正：

* 在處理格式錯誤的 Web 內容過程中發現多個瑕疵。包含惡意內容的網頁可造成 Firefox 損毀，或可能利用執行 Firefox 之使用者的權限來執行任意程式碼。(CVE-2016-2818、CVE-2016-2819、CVE-2016-2821、CVE-2016-2822、CVE-2016-2828、CVE-2016-2831)

Red Hat 要感謝 Mozilla 專案報告這些問題。上游確認 sushi Anton Larsson、firehack、Jordi Chancel、Christian Holler、Sylvestre Ledru、Tyson Smith、jomo、Jesse Ruderman、Julian Seward、Timothy Nikkel、Karl Tomlinson、Olli Pettay 和 Gary Kwong 為原始報告者。

在 Mozilla Firefox 網頁瀏覽器中發現多個安全性問題：多個記憶體安全錯誤、緩衝區溢位及其他實作錯誤，可能導致執行任意程式碼或偽造。

等一下，Firefox？沒有 Iceweasel 的其他參照了嗎？是的，Debian 不再申請自訂商標。請參閱下列連結瞭解進一步資訊：https://glandium.org/blog/?p=3622, https://en.wikipedia.org/wiki/Mozilla_software_rebranded_by_Debian

Debian 遵循 Firefox 的延伸支援版本 (ESR)。38.x 系列的支援已結束，因此，從此更新開始，我們將遵循 45.x 版本，並且我們也會在下一個 ESR 的此更新中重新申請原始商標。

會提供 iceweasel 套件的轉換套件，其會自動升級至新版本。由於需要安裝新的二進位套件，因此，請確保允許在您的升級程序中執行此操作 (例如，使用「apt-get dist-upgrade」，而非「apt-get upgrade」)。

現已提供 Red Hat Enterprise Linux 5、Red Hat Enterprise Linux 6 和 Red Hat Enterprise Linux 7 適用的 firefox 的更新。

Red Hat 產品安全性團隊已將此更新評等為具有重大安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Mozilla Firefox 是開放原始碼的網頁瀏覽器。

此更新將 Firefox 升級至 45.2.0 ESR 版。

安全性修正：

* 在處理格式錯誤的 Web 內容過程中發現多個瑕疵。包含惡意內容的網頁可造成 Firefox 損毀，或可能利用執行 Firefox 之使用者的權限來執行任意程式碼。(CVE-2016-2818、CVE-2016-2819、CVE-2016-2821、CVE-2016-2822、CVE-2016-2828、CVE-2016-2831)

Red Hat 要感謝 Mozilla 專案報告這些問題。上游確認 sushi Anton Larsson、firehack、Jordi Chancel、Christian Holler、Sylvestre Ledru、Tyson Smith、jomo、Jesse Ruderman、Julian Seward、Timothy Nikkel、Karl Tomlinson、Olli Pettay 和 Gary Kwong 為原始報告者。

在 Mozilla Firefox 網頁瀏覽器中發現多個安全性問題：多個記憶體安全錯誤、緩衝區溢位及其他實作錯誤，可能導致執行任意程式碼或偽造。

等一下，Firefox？沒有 Iceweasel 的其他參照了嗎？是的，Debian 不再申請自訂商標。請參閱下列連結瞭解進一步資訊：https://glandium.org/blog/?p=3622 https://en.wikipedia.org/wiki/Mozilla_software_rebranded_by_Debian

Debian 遵循 Firefox 的延伸支援版本 (ESR)。38.x 系列的支援已結束，因此，從此更新開始，我們將遵循 45.x 版本，並且我們也會在下一個 ESR 的此更新中重新申請原始商標。

會提供 iceweasel 套件的轉換套件，其會自動升級至新版本。由於需要安裝新的二進位套件，因此，請確保允許在您的升級程序中執行此操作 (例如，使用「apt-get dist-upgrade」，而非「apt-get upgrade」)。

針對 Debian 7「Wheezy」，這些問題已在 45.2.0esr-1~deb7u1 版本中修正。

建議您升級 firefox-esr 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

此 Mozilla Firefox 47 更新可修正下列問題 (boo#983549)：

安全性修正：

- CVE-2016-2815/CVE-2016-2818：其他記憶體安全危險 (boo#983638 MFSA 2016-49)

- CVE-2016-2819：剖析 HTML5 片段時發生緩衝區溢位 (boo#983655 MFSA 2016-50)

- CVE-2016-2821：從可編輯內容的文件中刪除表格時發生釋放後使用錯誤 (boo#983653 MFSA 2016-51)

- CVE-2016-2822：透過 SELECT 元素偽造位址列 (boo#983652 MFSA 2016-52)

- CVE-2016-2824：WebGL 著色器發生超出邊界寫入問題 (boo#983651 MFSA 2016-53)

- CVE-2016-2825：透過資料 URI 藉由設定 location.host 發生部分同源原則問題 (boo#983649 MFSA 2016-54)

- CVE-2016-2828：回收集區解構後在 WebGL 作業中使用紋時發生釋放後使用錯誤 (boo#983646 MFSA 2016-56)

- CVE-2016-2829：權限通知上顯示錯誤圖示 (boo#983644 MFSA 2016-57)

- CVE-2016-2831：無使用者權限便進入全螢幕且持續鎖定指標 (boo#983643 MFSA 2016-58)

- CVE-2016-2832：已停用的外掛程式透過 CSS 虛擬類別洩漏資訊 (boo#983632 MFSA 2016-59)

- CVE-2016-2833：Java applet 繞過 CSP 保護 (boo#983640 MFSA 2016-60)

Mozilla NSS 已更新至 3.23 版，可修正下列弱點：

- CVE-2016-2834：記憶體安全錯誤 (boo#983639 MFSA-2016-61)

包含下列非安全性變更：

- 針對使用快速機器的使用者啟用 VP9 視訊轉碼器

- 如果未安裝 Flash，現在可藉由 HTML5 視訊播放內嵌 YouTube 視訊

- 從智慧型手機或其他電腦的側邊列檢視和搜尋開啟的索引標籤

- 允許 https 資源的無快取向後/向前導覽

包括下列套件封裝變更：

- boo#981695：清除設定選項，尤其是移除 FF 已淘汰的 GStreamer 支援

- boo#980384：啟用在 x86_64 上以 PIE 和完整 relro 構建

提供下列新功能：

- 現在支援 ChaCha20/Poly1305 加密和 TLS 加密套件

- 已記錄 TLS 交握中傳送的 TLS 延伸模組清單，提高延伸主要密碼與伺服器的相容性

遠端 Mac OS X 主機上安裝的 Firefox ESR 版本為 45.2 之前的 45.x 版。因此，會受到多個弱點影響：

- 存有多個會讓未經驗證的遠端攻擊者執行任意程式碼的記憶體損毀問題。(CVE-2016-2818)

- 存在一個溢位情況，其會於在外部內容 (例如在 <svg> 節點之下) 中處理 HTML5 片段時觸發。未經驗證的遠端攻擊者可利用此問題造成堆積型緩衝區溢位，進而執行任意程式碼。
 (CVE-2016-2819)

- 存在一個釋放後使用錯誤，其會於在「可編輯內容」模式中刪除 DOM 表格元素時觸發。
 未經驗證的遠端攻擊者可加以惡意利用，解除參照已釋放的記憶體，進而導致執行任意程式碼。(CVE-2016-2821)

- 存在一個偽造弱點，這是因為不當處理 SELECT 元素所導致。未經驗證的遠端攻擊者可惡意利用此弱點偽造位址列的內容。(CVE-2016-2822)

- 存在一個釋放後使用錯誤，其會在破壞於處理 WebGL 內容期間使用之紋理的回收集區時觸發。未經驗證的遠端攻擊者可加以惡意利用，解除參照已釋放的記憶體，進而導致執行任意程式碼。
 (CVE-2016-2828)

- 存在一個瑕疵，其會在搭配關閉視窗處理配對全螢幕與鎖定指標要求時觸發。未經驗證的遠端攻擊者可惡意利用此瑕疵建立未經授權的鎖定指標，進而導致拒絕服務情形。
 此外，攻擊者可惡意利用這點，發動偽造和點擊劫持攻擊。(CVE-2016-2831)

Christian Holler、Gary Kwong、Jesse Ruderman、Tyson Smith、Timothy Nikkel、Sylvestre Ledru、Julian Seward、Olli Pettay、Karl Tomlinson、Christoph Diehl、Julian Hector、Jan de Mooij、Mats Palmgren 和 Tooru Fujisawa 在 Firefox 中發現多個記憶體安全問題。如果使用者遭誘騙而開啟特製網站，攻擊者可能惡意利用這些弱點，透過應用程式損毀造成拒絕服務或是執行任意程式碼。(CVE-2016-2815、CVE-2016-2818)

在某些情況下剖析 HTML5 片段時，發現一個緩衝區溢位問題。如果使用者遭誘騙而開啟特製網站，攻擊者可能惡意利用此弱點，透過應用程式損毀造成拒絕服務或是執行任意程式碼。
(CVE-2016-2819)

在某些情況下使用可編輯內容模式時，發現一個釋放後使用問題。如果使用者遭誘騙而開啟特製網站，攻擊者可能惡意利用此弱點，透過應用程式損毀造成拒絕服務或是執行任意程式碼。
(CVE-2016-2821)

Jordi Chancel 發現一種可在 <select> 元素中使用永久功能表並置於任意位置的方法。如果使用者遭誘騙而開啟特製的網站，攻擊者可能惡意利用此問題來偽造位址列內容。
(CVE-2016-2822)

Armin Razmdjou 發現，建立無效的 data: URI 執行的 Shell 命令插入攻擊。如果使用者遭誘騙而開啟特製的網站，攻擊者可能惡意利用此問題來繞過某些同源保護。
(CVE-2016-2825)

在某些情況下處理 WebGL 內容時，發現一個釋放後使用問題。如果使用者遭誘騙而開啟特製網站，攻擊者可能惡意利用此弱點，透過應用程式損毀造成拒絕服務或是執行任意程式碼。
(CVE-2016-2828)

Tim McCormack 發現，頁面快速連續要求數個權限時，權限通知可顯示錯誤的圖示。攻擊者可能惡意利用此問題，誘騙使用者同意存取錯誤的資源。
(CVE-2016-2829)

據發現，在某些情況下，無須使用者同意即可在全螢幕視窗中建立鎖定指標，而且必須結束 Firefox 才能取消此鎖定指標。如果使用者遭誘騙而開啟特製的網站，攻擊者可能惡意利用此問題，造成拒絕服務或發動點擊劫持攻擊。(CVE-2016-2831)

John Schoenick 發現，CSS 虛擬類別可洩漏已安裝但已停用的外掛程式之資訊。攻擊者可能惡意利用此問題來識別使用者。(CVE-2016-2832)

Matt Wobensmith 發現，在原則指定的情況下，內容安全性原則 (CSP) 未封鎖跨網域 Java applet 的載入。攻擊者可能惡意利用此問題，繞過 CSP 保護並發動跨網站指令碼 (XSS) 攻擊。
(CVE-2016-2833)

此外，也在 NSS 中發現多個不明安全性問題。(CVE-2016-2834)

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Mac OS X 主機上安裝的 Firefox 版本比 47 版舊。因此，會受到多個弱點影響：

- 存有多個會讓未經驗證的遠端攻擊者執行任意程式碼的記憶體損毀問題。(CVE-2016-2815、CVE-2016-2818)

- 存在一個溢位情況，其會於在外部內容 (例如在 <svg> 節點之下) 中處理 HTML5 片段時觸發。未經驗證的遠端攻擊者可利用此問題造成堆積型緩衝區溢位，進而執行任意程式碼。
 (CVE-2016-2819)

- 存在一個釋放後使用錯誤，其會於在「可編輯內容」模式中刪除 DOM 表格元素時觸發。
 未經驗證的遠端攻擊者可加以惡意利用，解除參照已釋放的記憶體，進而導致執行任意程式碼。(CVE-2016-2821)

- 存在一個偽造弱點，這是因為不當處理 SELECT 元素所導致。未經驗證的遠端攻擊者可惡意利用此弱點偽造位址列的內容。(CVE-2016-2822)

- 存在一個同源繞過弱點，處理建立無效「data:」URI 後所設定的 location.host 內容值時，會觸發此弱點。未經驗證的遠端攻擊者可惡意利用此弱點，繞過部分同源原則保護。
 (CVE-2016-2825)

- 存在一個釋放後使用錯誤，其會在破壞於處理 WebGL 內容期間使用之紋理的回收集區時觸發。未經驗證的遠端攻擊者可加以惡意利用，解除參照已釋放的記憶體，進而導致執行任意程式碼。
 (CVE-2016-2828)

- browser/modules/webrtcUI.jsm 中存在一個瑕疵，在短時間內處理大量權限要求時會觸發此瑕疵。未經驗證的遠端攻擊者可惡意利用此瑕疵，造成在指定權限要求中顯示錯誤的圖示，進而可能導致使用者核准非預定的權限要求。
 (CVE-2016-2829)

- 存在一個瑕疵，其會在搭配關閉視窗處理配對全螢幕與鎖定指標要求時觸發。未經驗證的遠端攻擊者可惡意利用此瑕疵建立未經授權的鎖定指標，進而導致拒絕服務情形。
 此外，攻擊者可惡意利用這點，發動偽造和點擊劫持攻擊。(CVE-2016-2831)

- 存在一個資訊洩漏弱點，處理 CSS 虛擬類別時會觸發此弱點。未經驗證的遠端攻擊者可惡意利用此弱點，洩漏已安裝外掛程式的清單。(CVE-2016-2832)

- 存在一個內容安全性原則 (CSP) 繞過弱點，處理特製跨網域 Java applet 時會觸發此弱點。未經驗證的遠端攻擊者可惡意利用此弱點，繞過 CSP 並發動跨網站指令碼攻擊。(CVE-2016-2833)

- Mozilla Network Security Services (NSS) 元件中存在多個不明瑕疵，其允許攻擊者造成不明影響。(CVE-2016-2834)

遠端 Windows 主機上安裝的 Firefox ESR 版本為比 45.2 舊的 45.x。因此，會受到多個弱點影響：

- 存有多個會讓未經驗證的遠端攻擊者執行任意程式碼的記憶體損毀問題。(CVE-2016-2818)

- 存在一個溢位情況，其會於在外部內容 (例如在 <svg> 節點之下) 中處理 HTML5 片段時觸發。未經驗證的遠端攻擊者可利用此問題造成堆積型緩衝區溢位，進而執行任意程式碼。
 (CVE-2016-2819)

- 存在一個釋放後使用錯誤，其會於在「可編輯內容」模式中刪除 DOM 表格元素時觸發。
 未經驗證的遠端攻擊者可加以惡意利用，解除參照已釋放的記憶體，進而導致執行任意程式碼。(CVE-2016-2821)

- 存在一個偽造弱點，這是因為不當處理 SELECT 元素所導致。未經驗證的遠端攻擊者可惡意利用此弱點偽造位址列的內容。(CVE-2016-2822)

- ANGLE 圖庫中存在一個超出邊界寫入錯誤，此錯誤是因為在 WebGL 著色器作業執行期間，寫入陣列時不當檢查大小所導致。未經驗證的遠端攻擊者可利用此弱點執行任意程式碼。(CVE-2016-2824)

- Windows 更新程式公用程式中存在一個權限提升弱點，此弱點是因不當從 MAR 封存擷取檔案所導致。本機攻擊者可惡意利用此弱點取代擷取的檔案，進而允許攻擊者取得提升的權限。(CVE-2016-2826)

- 存在一個釋放後使用錯誤，其會在破壞於處理 WebGL 內容期間使用之紋理的回收集區時觸發。未經驗證的遠端攻擊者可加以惡意利用，解除參照已釋放的記憶體，進而導致執行任意程式碼。
 (CVE-2016-2828)

- 存在一個瑕疵，其會在搭配關閉視窗處理配對全螢幕與鎖定指標要求時觸發。未經驗證的遠端攻擊者可惡意利用此瑕疵建立未經授權的鎖定指標，進而導致拒絕服務情形。
 此外，攻擊者可惡意利用這點，發動偽造和點擊劫持攻擊。(CVE-2016-2831)

遠端 Windows 主機上安裝的 Firefox 版本比 47 版舊。因此，會受到多個弱點影響：

- 存有多個會讓未經驗證的遠端攻擊者執行任意程式碼的記憶體損毀問題。(CVE-2016-2815、CVE-2016-2818)

- 存在一個溢位情況，其會於在外部內容 (例如在 <svg> 節點之下) 中處理 HTML5 片段時觸發。未經驗證的遠端攻擊者可利用此問題造成堆積型緩衝區溢位，進而執行任意程式碼。
 (CVE-2016-2819)

- 存在一個釋放後使用錯誤，其會於在「可編輯內容」模式中刪除 DOM 表格元素時觸發。
 未經驗證的遠端攻擊者可加以惡意利用，解除參照已釋放的記憶體，進而導致執行任意程式碼。(CVE-2016-2821)

- 存在一個偽造弱點，這是因為不當處理 SELECT 元素所導致。未經驗證的遠端攻擊者可惡意利用此弱點偽造位址列的內容。(CVE-2016-2822)

- ANGLE 圖庫中存在一個超出邊界寫入錯誤，此錯誤是因為在 WebGL 著色器作業執行期間，寫入陣列時不當檢查大小所導致。未經驗證的遠端攻擊者可利用此弱點執行任意程式碼。(CVE-2016-2824)

- 存在一個同源繞過弱點，處理建立無效「data:」URI 後所設定的 location.host 內容值時，會觸發此弱點。未經驗證的遠端攻擊者可惡意利用此弱點，繞過部分同源原則保護。
 (CVE-2016-2825)

- Windows 更新程式公用程式中存在一個權限提升弱點，此弱點是因不當從 MAR 封存擷取檔案所導致。本機攻擊者可惡意利用此弱點取代擷取的檔案，進而允許攻擊者取得提升的權限。(CVE-2016-2826)

- 存在一個釋放後使用錯誤，其會在破壞於處理 WebGL 內容期間使用之紋理的回收集區時觸發。未經驗證的遠端攻擊者可加以惡意利用，解除參照已釋放的記憶體，進而導致執行任意程式碼。
 (CVE-2016-2828)

- browser/modules/webrtcUI.jsm 中存在一個瑕疵，在短時間內處理大量權限要求時會觸發此瑕疵。未經驗證的遠端攻擊者可惡意利用此瑕疵，造成在指定權限要求中顯示錯誤的圖示，進而可能導致使用者核准非預定的權限要求。
 (CVE-2016-2829)

- 存在一個瑕疵，其會在搭配關閉視窗處理配對全螢幕與鎖定指標要求時觸發。未經驗證的遠端攻擊者可惡意利用此瑕疵建立未經授權的鎖定指標，進而導致拒絕服務情形。
 此外，攻擊者可惡意利用這點，發動偽造和點擊劫持攻擊。(CVE-2016-2831)

- 存在一個資訊洩漏弱點，處理 CSS 虛擬類別時會觸發此弱點。未經驗證的遠端攻擊者可惡意利用此弱點，洩漏已安裝外掛程式的清單。(CVE-2016-2832)

- 存在一個內容安全性原則 (CSP) 繞過弱點，處理特製跨網域 Java applet 時會觸發此弱點。未經驗證的遠端攻擊者可惡意利用此弱點，繞過 CSP 並發動跨網站指令碼攻擊。(CVE-2016-2833)

- Mozilla Network Security Services (NSS) 元件中存在多個不明瑕疵，其允許攻擊者造成不明影響。(CVE-2016-2834)

此更新將 Firefox 升級至 45.2.0 ESR 版。

安全性修正：

- 在處理格式錯誤的 Web 內容過程中發現多個瑕疵。包含惡意內容的網頁可造成 Firefox 損毀，或可能利用執行 Firefox 之使用者的權限來執行任意程式碼。(CVE-2016-2818、CVE-2016-2819、CVE-2016-2821、CVE-2016-2822、CVE-2016-2828、CVE-2016-2831)

MozillaFirefox、MozillaFirefox-branding-SLE、mozilla-nspr 和 mozilla-nss 已更新，修正了九個安全性問題。Mozilla Firefox 已更新至 45.3.0 ESR 版。mozilla-nss 已更新至 3.21.1 版，mozilla-nspr 已更新至 4.12 版。這些安全性問題已在 45.3.0ESR 中修正：

- CVE-2016-2835/CVE-2016-2836：其他記憶體安全性危險 (rv:48.0 / rv:45.3) (MFSA 2016-62)

- CVE-2016-2830：關閉頁面時可維持 Favicon 網路連線 (MFSA 2016-63)

- CVE-2016-2838：轉譯含雙向內容的 SVG 時發生緩衝區溢位 (MFSA 2016-64)

- CVE-2016-2839：Cairo 轉譯因 FFmpeg 0.10 的記憶體配置問題而損毀 (MFSA 2016-65)

- CVE-2016-5252 2D 圖形轉譯期間發生堆疊反向溢位 (MFSA 2016-67)

- CVE-2016-5254：使用 alt 鍵和頂層功能表時出現釋放後使用問題 (MFSA 2016-70)

- CVE-2016-5258：WebRTC 工作階段關閉期間 DTLS 出現釋放後使用問題 (MFSA 2016-72)

- CVE-2016-5259：含有巢狀同步事件的服務背景工作出現釋放後使用問題 (MFSA 2016-73)

- CVE-2016-5262：marquee 標籤上的指令碼可在沙箱 iframe 中執行 (MFSA 2016-76)

- CVE-2016-2837：播放視訊期間 ClearKey 內容解密模組 (CDM) 中發生緩衝區溢位 (MFSA 2016-77)

- CVE-2016-5263：顯示轉換過程發生類型混淆 (MFSA 2016-78)

- CVE-2016-5264：套用 SVG 效果時發生釋放後使用問題 (MFSA 2016-79)

- CVE-2016-5265：使用本機 HTML 檔案和已儲存的捷徑檔案時發生同源原則違規情形 (MFSA 2016-80)

- CVE-2016-6354：修正可能的緩衝區滿溢問題 (bsc#990856) 已在 45.2.0.ESR 中修正的安全性問題：

- CVE-2016-2834：NSS 中的記憶體安全性錯誤 (MFSA 2016-61) (bsc#983639)。

- CVE-2016-2824：WebGL 著色器發生超出邊界寫入問題 (MFSA 2016-53) (bsc#983651)。

- CVE-2016-2822：透過 SELECT 元素偽造位址列 (MFSA 2016-52) (bsc#983652)。

- CVE-2016-2821：從可編輯內容的文件中刪除表格時發生釋放後使用錯誤 (MFSA 2016-51) (bsc#983653)。

- CVE-2016-2819：剖析 HTML5 片段時發生緩衝區溢位 (MFSA 2016-50) (bsc#983655)。

- CVE-2016-2828：回收集區解構後在 WebGL 作業中使用紋理時發生釋放後使用錯誤 (MFSA 2016-56) (bsc#983646)。

- CVE-2016-2831：無使用者權限便進入全螢幕且持續鎖定指標 (MFSA 2016-58) (bsc#983643)。

- CVE-2016-2815、CVE-2016-2818：其他記憶體安全性危險 (MFSA 2016-49) (bsc#983638) 已修正下列非安全性錯誤：

- 修正 aarch64 的損毀

- 決定運行時間的頁面大小 (bsc#984006)

- 允許 aarch64 在安全模式下工作 (bsc#985659)

- 修正大型主機的損毀

- 暫時將 Firefox 連結至第一個 CPU 做為明顯爭用情形的 hotfix (bsc#989196、bsc#990628) 所有延伸模組現在都必須經由 addons.mozilla.org 簽署。
 請參閱 README.SUSE 瞭解更多詳細資料。

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

MozillaFirefox、MozillaFirefox-branding-SLE、mozilla-nss 和 mozilla-nspr 已更新，修正了九個安全性問題。

Mozilla Firefox 已更新至 45.2.0 ESR 版。mozilla-nss 已更新至 3.21.1 版。

已修正這些安全性問題：

- CVE-2016-2834：NSS 中的記憶體安全性錯誤 (MFSA 2016-61) (bsc#983639)。

- CVE-2016-2824：WebGL 著色器發生超出邊界寫入問題 (MFSA 2016-53) (bsc#983651)。

- CVE-2016-2822：透過 SELECT 元素偽造位址列 (MFSA 2016-52) (bsc#983652)。

- CVE-2016-2821：從可編輯內容的文件中刪除表格時發生釋放後使用錯誤 (MFSA 2016-51) (bsc#983653)。

- CVE-2016-2819：剖析 HTML5 片段時發生緩衝區溢位 (MFSA 2016-50) (bsc#983655)。

- CVE-2016-2828：回收集區解構後在 WebGL 作業中使用紋理時發生釋放後使用錯誤 (MFSA 2016-56) (bsc#983646)。

- CVE-2016-2831：無使用者權限便進入全螢幕且持續鎖定指標 (MFSA 2016-58) (bsc#983643)。

- CVE-2016-2815、CVE-2016-2818：其他記憶體安全危險 (MFSA 2016-49) (bsc#983638)

已修正下列非安全性錯誤：

- bsc#982366：連線中的未知 SSL 通訊協定錯誤

- 修正 aarch64 的損毀

- 決定運行時間的頁面大小 (bsc#984006)

- 允許 aarch64 在安全模式下工作 (bsc#985659)

- 修正大型主機的損毀

所有延伸模組現在都必須經由 addons.mozilla.org 簽署。請參閱 README.SUSE 瞭解更多詳細資料。

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

MozillaFirefox、MozillaFirefox-branding-SLE 和 mozilla-nss 已更新，修正了九個安全性問題。Mozilla Firefox 已更新至 45.2.0 ESR 版。mozilla-nss 已更新至 3.21.1 版。已修正這些安全性問題：

- CVE-2016-2834：NSS 中的記憶體安全性錯誤 (MFSA 2016-61) (bsc#983639)。

- CVE-2016-2824：WebGL 著色器發生超出邊界寫入問題 (MFSA 2016-53) (bsc#983651)。

- CVE-2016-2822：透過 SELECT 元素偽造位址列 (MFSA 2016-52) (bsc#983652)。

- CVE-2016-2821：從可編輯內容的文件中刪除表格時發生釋放後使用錯誤 (MFSA 2016-51) (bsc#983653)。

- CVE-2016-2819：剖析 HTML5 片段時發生緩衝區溢位 (MFSA 2016-50) (bsc#983655)。

- CVE-2016-2828：回收集區解構後在 WebGL 作業中使用紋理時發生釋放後使用錯誤 (MFSA 2016-56) (bsc#983646)。

- CVE-2016-2831：無使用者權限便進入全螢幕且持續鎖定指標 (MFSA 2016-58) (bsc#983643)。

- CVE-2016-2815、CVE-2016-2818：其他記憶體安全性危險 (MFSA 2016-49) (bsc#983638) 已修正下列非安全性錯誤：

- 修正 aarch64 的損毀

- 決定運行時間的頁面大小 (bsc#984006)

- 允許 aarch64 在安全模式下工作 (bsc#985659)

- 修正大型主機的當機問題 所有延伸模組現在都必須經由 addons.mozilla.org 簽署。請參閱 README.SUSE 瞭解更多詳細資料。

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Mozilla Foundation 報告：

MFSA 2016-49 其他記憶體安全性危險 (rv:47.0 / rv:45.2)

MFSA 2016-50 剖析 HTML5 片段時發生緩衝區溢位

MFSA 2016-51 從可編輯內容的文件中刪除表格時發生釋放後使用

MFSA 2016-52 透過 SELECT 元素偽造位址列

MFSA 2016-54 透過資料 URI 藉由設定 location.host 發生部分同源原則問題

MFSA 2016-56 回收集區解構後在 WebGL 作業中使用紋理時發生釋放後使用

MFSA 2016-57 權限通知上顯示的圖示不正確

MFSA 2016-58 無使用者權限便進入全螢幕且持續鎖定指標

MFSA 2016-59 已停用的外掛程式透過 CSS 虛擬類別洩漏資訊

MFSA 2016-60 Java applet 繞過 CSP 保護

此 Mozilla Firefox 47 更新可修正下列問題 (boo#983549)：

安全性修正：

- CVE-2016-2815/CVE-2016-2818：其他記憶體安全危險 (boo#983638 MFSA 2016-49)

- CVE-2016-2819：剖析 HTML5 片段時發生緩衝區溢位 (boo#983655 MFSA 2016-50)

- CVE-2016-2821：從可編輯內容的文件中刪除表格時發生釋放後使用錯誤 (boo#983653 MFSA 2016-51)

- CVE-2016-2822：透過 SELECT 元素偽造位址列 (boo#983652 MFSA 2016-52)

- CVE-2016-2824：WebGL 著色器發生超出邊界寫入問題 (boo#983651 MFSA 2016-53)

- CVE-2016-2825：透過資料 URI 藉由設定 location.host 發生部分同源原則問題 (boo#983649 MFSA 2016-54)

- CVE-2016-2828：回收集區解構後在 WebGL 作業中使用紋時發生釋放後使用錯誤 (boo#983646 MFSA 2016-56)

- CVE-2016-2829：權限通知上顯示錯誤圖示 (boo#983644 MFSA 2016-57)

- CVE-2016-2831：無使用者權限便進入全螢幕且持續鎖定指標 (boo#983643 MFSA 2016-58)

- CVE-2016-2832：已停用的外掛程式透過 CSS 虛擬類別洩漏資訊 (boo#983632 MFSA 2016-59)

- CVE-2016-2833：Java applet 繞過 CSP 保護 (boo#983640 MFSA 2016-60)

Mozilla NSS 已更新至 3.23 版，可修正下列弱點：

- CVE-2016-2834：記憶體安全錯誤 (boo#983639 MFSA-2016-61) 包含下列非安全性變更：

- 針對使用快速機器的使用者啟用 VP9 視訊轉碼器

- 如果未安裝 Flash，現在可藉由 HTML5 視訊播放內嵌 YouTube 視訊

- 從智慧型手機或其他電腦的側邊列檢視和搜尋開啟的索引標籤

- 允許 https 資源的無快取向後/向前導覽

包括下列套件封裝變更：

- boo#981695：清除設定選項，尤其是移除 FF 已淘汰的 GStreamer 支援

- boo#980384：啟用在 x86_64 上以 PIE 和完整 relro 構建

提供下列新功能：

- 現在支援 ChaCha20/Poly1305 加密和 TLS 加密套件

- 已記錄 TLS 交握中傳送的 TLS 延伸模組清單，提高延伸主要密碼與伺服器的相容性

ID	名稱	產品	系列	已發布	已更新	嚴重性
91535	Oracle Linux 5 / 6 / 7：firefox (ELSA-2016-1217)	Nessus	Oracle Linux Local Security Checks	2016/6/9	2021/1/14	high
91550	Debian DSA-3600-1：firefox-esr - 安全性更新	Nessus	Debian Local Security Checks	2016/6/10	2021/1/11	high
91635	CentOS 5 / 6 / 7 : firefox (CESA-2016:1217)	Nessus	CentOS Local Security Checks	2016/6/17	2021/1/4	high
91691	Debian DLA-521-1：firefox-esr 安全性更新	Nessus	Debian Local Security Checks	2016/6/20	2021/1/11	high
91589	openSUSE 安全性更新：MozillaFirefox / mozilla-nss (openSUSE-2016-714)	Nessus	SuSE Local Security Checks	2016/6/14	2021/1/19	high
91536	RHEL 5 / 6 / 7 : firefox (RHSA-2016:1217)	Nessus	Red Hat Local Security Checks	2016/6/9	2020/5/29	high
91544	Firefox ESR 45.x < 45.2 多個弱點 (Mac OS X)	Nessus	MacOS X Local Security Checks	2016/6/9	2019/11/19	high
91557	Ubuntu 14.04 LTS / 16.04 LTS：Firefox 弱點 (USN-2993-1)	Nessus	Ubuntu Local Security Checks	2016/6/10	2024/8/27	high
91545	Firefox < 47 多個弱點 (Mac OS X)	Nessus	MacOS X Local Security Checks	2016/6/9	2019/11/19	high
91546	Firefox ESR 45.x < 45.2 多個弱點	Nessus	Windows	2016/6/9	2019/11/19	high
91547	Firefox < 47 多個弱點	Nessus	Windows	2016/6/9	2019/11/19	high
91648	Scientific Linux 安全性更新：SL5.x、SL6.x、SL7.x i386/x86_64 上的 firefox	Nessus	Scientific Linux Local Security Checks	2016/6/17	2021/1/14	high
93288	SUSE SLES11 安全性更新：MozillaFirefox、MozillaFirefox-branding-SLED、mozilla-nspr / mozilla-nss (SUSE-SU-2016:2061-1)	Nessus	SuSE Local Security Checks	2016/9/2	2021/1/19	critical
93166	SUSE SLED12 / SLES12 安全性更新：MozillaFirefox、MozillaFirefox-branding-SLE、mozilla-nspr、mozilla-nss (SUSE-SU-2016:1691-1)	Nessus	SuSE Local Security Checks	2016/8/29	2021/1/6	high
93182	SUSE SLES11 安全性更新：MozillaFirefox、MozillaFirefox-branding-SLE / mozilla-nss (SUSE-SU-2016:1799-1)	Nessus	SuSE Local Security Checks	2016/8/29	2021/1/19	high
91509	FreeBSD：mozilla -- 多個弱點 (8065d37b-8e7c-4707-a608-1b0a2b8509c3)	Nessus	FreeBSD Local Security Checks	2016/6/8	2021/1/4	high
91586	openSUSE 安全性更新：MozillaFirefox / mozilla-nss (openSUSE-2016-704)	Nessus	SuSE Local Security Checks	2016/6/14	2021/1/19	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high

high

high

critical

high

high

high

high