遠端 Ubuntu 18.04 LTS/20.04 LTS/21.04 主機上安裝的套件受到 USN-5229-1 公告中所提及的多個弱點影響。

  - Mozilla 開發人員 Christian Holler 和 Jason Kratzer 報告，Firefox 95 中存在記憶體安全性錯誤。
    某些錯誤顯示記憶體會遭到損毀，我們推測若有心人士有意操控，可能惡意利用其中部分錯誤執行任意程式碼。此弱點影響 Firefox < 96。
    (CVE-2022-22752)

  - 可以建構能夠繞過 iframe 沙箱的特定 XSLT 標記。此弱點會影響 Firefox ESR < 91.5、Firefox < 96 和 Thunderbird < 91.5。(CVE-2021-4140)

  - 建構音訊接收器可導致播放音訊檔案和關閉視窗時發生爭用情形。
    這可能會造成釋放後使用，進而導致可能遭惡意利用的當機情形。此弱點會影響 Firefox ESR < 91.5、Firefox < 96 和 Thunderbird < 91.5。(CVE-2022-22737)

  - 套用 CSS 篩選效果可能會造成超出邊界存取記憶體問題。這可能會造成堆積緩衝區溢位，進而導致可能遭惡意利用的當機情形。此弱點會影響 Firefox ESR < 91.5、Firefox < 96 和 Thunderbird < 91.5。(CVE-2022-22738)

  - 惡意網站可誘騙使用者接受啟動處理外部 URL 通訊協定的程式。此弱點會影響 Firefox ESR < 91.5、Firefox < 96 和 Thunderbird < 91.5。
    (CVE-2022-22739)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 macOS 或 Mac OS X 主機上安裝的 Firefox 版本比 96.0 版舊。因此，其會受到 mfsa2022-01 公告中提及的多個弱點影響。

  - 爭用情形可允許繞過全螢幕通知，進而可能導致忽略全螢幕視窗偽造攻擊。此錯誤只會影響 Windows 作業系統上的 Firefox。其他作業系統不受影響。(CVE-2022-22746)

  - 在要求全螢幕存取權的同時從 iframe 內部導覽時，攻擊者控制的索引標籤可使瀏覽器無法退出全螢幕模式。(CVE-2022-22743)

  - 在編輯模式下插入文字時，某些字元可能會導致超出邊界存取記憶體，進而造成可能遭惡意利用的當機。(CVE-2022-22742)

  - 在要求全螢幕存取權的同時調整快顯視窗的大小時，快顯視窗將無法退出全螢幕模式。(CVE-2022-22741)

  - 釋放網路要求處理時，過早釋放特定網路要求物件。這可能會造成釋放後使用，進而導致可能遭惡意利用的當機。(CVE-2022-22740)

  - 套用 CSS 篩選效果可能會造成超出邊界存取記憶體問題。這可能會造成堆積緩衝區溢位，進而導致可能遭惡意利用的當機。(CVE-2022-22738)

  - 建構音訊接收器可導致播放音訊檔案和關閉視窗時發生爭用情形。
    這可能會造成釋放後使用，進而導致可能遭惡意利用的當機。(CVE-2022-22737)

  - 可以建構能夠繞過 iframe 沙箱的特定 XSLT 標記。
    (CVE-2021-4140)

  - 一般而言，透過跨處理程序接受和傳遞資源處理程序時，受損內容處理程序可能會混淆較高權限的處理程序，使其與無權限處理程序本應無法存取的處理程序進行互動。此錯誤只會影響 Windows 和 MacOS 作業系統上的 Firefox。其他作業系統不受影響。(CVE-2022-22750)

  - 掃描 QR 碼時，Android 作業系統上的 Firefox 會允許導覽至某些未指向 Web 內容的 URL。此問題僅會影響 Android 版 Firefox。其他作業系統不受影響。
    (CVE-2022-22749)

  - 要求啟動程式和處理外部 URL 通訊協定時，惡意網站可使 Firefox 混淆顯示錯誤的來源。(CVE-2022-22748)

  - Securitypolicyviolation 事件可洩漏框架祖先違規的跨來源資訊 (CVE-2022-22745)

  - 使用 DevTools 的 Copy as curl 功能建構的 curl 命令未針對 PowerShell 正確逸出。如果將其貼到 Powershell 提示中，可能會導致命令插入問題。此錯誤只會影響 Windows 作業系統上的 Firefox。其他作業系統不受影響。(CVE-2022-22744)

  - 接受不受信任的憑證後，將空的 pkcs7 序列作為憑證資料的一部分進行處理可能會導致當機。據信，此當機情況不會遭到惡意利用。(CVE-2022-22747)

  - 如果 Firefox 已安裝至任何人皆可寫入的目錄，則當 Firefox 在目前目錄中搜尋系統程式庫時，可能會發生本機權限提升情形。不過，安裝目錄預設為非全域可寫入。此錯誤只會影響 Windows 作業系統上非預設安裝的 Firefox。其他作業系統不受影響。(CVE-2022-22736)

  - 惡意網站可誘騙使用者接受啟動處理外部 URL 通訊協定的程式。(CVE-2022-22739)

  - Mozilla 開發人員 Calixte Denizet、Kershaw Chang、Christian Holler、Jason Kratzer、Gabriele Svelto、Tyson Smith、Simon Giesecke 和 Steve Fink 報告 Firefox 95 和 Firefox ESR 91.4 中存在記憶體安全錯誤。其中某些錯誤顯示記憶體遭到損毀，我們推測若有心人士有意操控，可能利用其中部分錯誤執行任意程式碼。(CVE-2022-22751)

  - Mozilla 開發人員 Christian Holler 和 Jason Kratzer 報告，Firefox 95 中存在記憶體安全性錯誤。
    其中某些錯誤顯示記憶體遭到損毀，我們推測若有心人士有意操控，可能利用其中部分錯誤執行任意程式碼。(CVE-2022-22752)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Windows 主機上安裝的 Firefox 版本是 96.0 之前版本。因此，其會受到 mfsa2022-01 公告中提及的多個弱點影響。

  - 爭用情形可允許繞過全螢幕通知，進而可能導致忽略全螢幕視窗偽造攻擊。此錯誤只會影響 Windows 作業系統上的 Firefox。其他作業系統不受影響。(CVE-2022-22746)

  - 在要求全螢幕存取權的同時從 iframe 內部導覽時，攻擊者控制的索引標籤可使瀏覽器無法退出全螢幕模式。(CVE-2022-22743)

  - 在編輯模式下插入文字時，某些字元可能會導致超出邊界存取記憶體，進而造成可能遭惡意利用的當機。(CVE-2022-22742)

  - 在要求全螢幕存取權的同時調整快顯視窗的大小時，快顯視窗將無法退出全螢幕模式。(CVE-2022-22741)

  - 釋放網路要求處理時，過早釋放特定網路要求物件。這可能會造成釋放後使用，進而導致可能遭惡意利用的當機。(CVE-2022-22740)

  - 套用 CSS 篩選效果可能會造成超出邊界存取記憶體問題。這可能會造成堆積緩衝區溢位，進而導致可能遭惡意利用的當機。(CVE-2022-22738)

  - 建構音訊接收器可導致播放音訊檔案和關閉視窗時發生爭用情形。
    這可能會造成釋放後使用，進而導致可能遭惡意利用的當機。(CVE-2022-22737)

  - 可以建構能夠繞過 iframe 沙箱的特定 XSLT 標記。
    (CVE-2021-4140)

  - 一般而言，透過跨處理程序接受和傳遞資源處理程序時，受損內容處理程序可能會混淆較高權限的處理程序，使其與無權限處理程序本應無法存取的處理程序進行互動。此錯誤只會影響 Windows 和 MacOS 作業系統上的 Firefox。其他作業系統不受影響。(CVE-2022-22750)

  - 掃描 QR 碼時，Android 作業系統上的 Firefox 會允許導覽至某些未指向 Web 內容的 URL。此問題僅會影響 Android 版 Firefox。其他作業系統不受影響。
    (CVE-2022-22749)

  - 要求啟動程式和處理外部 URL 通訊協定時，惡意網站可使 Firefox 混淆顯示錯誤的來源。(CVE-2022-22748)

  - Securitypolicyviolation 事件可洩漏框架祖先違規的跨來源資訊 (CVE-2022-22745)

  - 使用 DevTools 的 Copy as curl 功能建構的 curl 命令未針對 PowerShell 正確逸出。如果將其貼到 Powershell 提示中，可能會導致命令插入問題。此錯誤只會影響 Windows 作業系統上的 Firefox。其他作業系統不受影響。(CVE-2022-22744)

  - 接受不受信任的憑證後，將空的 pkcs7 序列作為憑證資料的一部分進行處理可能會導致當機。據信，此當機情況不會遭到惡意利用。(CVE-2022-22747)

  - 如果 Firefox 已安裝至任何人皆可寫入的目錄，則當 Firefox 在目前目錄中搜尋系統程式庫時，可能會發生本機權限提升情形。不過，安裝目錄預設為非全域可寫入。此錯誤只會影響 Windows 作業系統上非預設安裝的 Firefox。其他作業系統不受影響。(CVE-2022-22736)

  - 惡意網站可誘騙使用者接受啟動處理外部 URL 通訊協定的程式。(CVE-2022-22739)

  - Mozilla 開發人員 Calixte Denizet、Kershaw Chang、Christian Holler、Jason Kratzer、Gabriele Svelto、Tyson Smith、Simon Giesecke 和 Steve Fink 報告 Firefox 95 和 Firefox ESR 91.4 中存在記憶體安全錯誤。其中某些錯誤顯示記憶體遭到損毀，我們推測若有心人士有意操控，可能利用其中部分錯誤執行任意程式碼。(CVE-2022-22751)

  - Mozilla 開發人員 Christian Holler 和 Jason Kratzer 報告，Firefox 95 中存在記憶體安全性錯誤。
    其中某些錯誤顯示記憶體遭到損毀，我們推測若有心人士有意操控，可能利用其中部分錯誤執行任意程式碼。(CVE-2022-22752)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
156744	Ubuntu 18.04 LTS / 20.04 LTS：Firefox 弱點 (USN-5229-1)	Nessus	Ubuntu Local Security Checks	2022/1/13	2023/10/16	critical
156605	Mozilla Firefox < 96.0	Nessus	MacOS X Local Security Checks	2022/1/11	2023/11/21	critical
156606	Mozilla Firefox < 96.0	Nessus	Windows	2022/1/11	2023/11/21	critical

偵測

搜尋 Plugin

critical

critical

critical