リモートの macOS または Mac OS X ホストにインストールされている Firefox のバージョンは、104.0より前のものです。したがって、mfsa2022-33 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

 - 攻撃者は XSLT のエラー処理を悪用して、攻撃者がコントロールするコンテンツをアドレスバーに表示された別の生成元と関連付けた可能性があります。これは、偽装された生成元に対してデータを送信するようユーザーを騙すために使用された可能性があります。(CVE-2022-38472)

 - XSLT ドキュメントを参照するクロスオリジン iframe は、親ドメインの許可を継承する可能性があります (マイクまたはカメラアクセスなど)。(CVE-2022-38473)

 - マイクにアクセスする権限を持つ Web サイトは、オーディオ通知の表示なしにオーディオを録音する可能性がありました。このバグにより、攻撃者が権限プロンプトをバイパスすることはありません。これは、権限が付与される際に表示される通知のみに影響を与えます。 このバグは Firefox for Android にのみ影響します。その他のオペレーティングシステムは影響を受けません。(CVE-2022-38474)

 - 攻撃者が、ゼロレングス JavaScript 配列の最初の要素に値を書き込んだ可能性があります。配列はゼロレングスでしたが、値は無効なメモリアドレスに書き込まれませんでした。 (CVE-2022-38475)

 - Mozilla 開発者の Nika Layzell 氏および Mozilla Fuzzing Team は、Firefox 103 と Firefox ESR 102.1 に存在するメモリ安全性のバグを報告しました。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、十分な労力をもってすればこれらの一部を悪用し、任意のコードを実行することが可能であると推測しています。(CVE-2022-38477)

 - Mozilla Fuzzing Team のメンバーは、Firefox 103、Firefox ESR 102.1、および Firefox ESR 91.12 に存在するメモリ安全性のバグを報告しました。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、十分な労力をもってすればこれらの一部を悪用し、任意のコードを実行することが可能であると推測しています。(CVE-2022-38478)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Windows ホストにインストールされている Firefox のバージョンは、104.0より前のものです。したがって、mfsa2022-33 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

 - 攻撃者は XSLT のエラー処理を悪用して、攻撃者がコントロールするコンテンツをアドレスバーに表示された別の生成元と関連付けた可能性があります。これは、偽装された生成元に対してデータを送信するようユーザーを騙すために使用された可能性があります。(CVE-2022-38472)

 - XSLT ドキュメントを参照するクロスオリジン iframe は、親ドメインの許可を継承する可能性があります (マイクまたはカメラアクセスなど)。(CVE-2022-38473)

 - マイクにアクセスする権限を持つ Web サイトは、オーディオ通知の表示なしにオーディオを録音する可能性がありました。このバグにより、攻撃者が権限プロンプトをバイパスすることはありません。これは、権限が付与される際に表示される通知のみに影響を与えます。 このバグは Firefox for Android にのみ影響します。その他のオペレーティングシステムは影響を受けません。(CVE-2022-38474)

 - 攻撃者が、ゼロレングス JavaScript 配列の最初の要素に値を書き込んだ可能性があります。配列はゼロレングスでしたが、値は無効なメモリアドレスに書き込まれませんでした。 (CVE-2022-38475)

 - Mozilla 開発者の Nika Layzell 氏および Mozilla Fuzzing Team は、Firefox 103 と Firefox ESR 102.1 に存在するメモリ安全性のバグを報告しました。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、十分な労力をもってすればこれらの一部を悪用し、任意のコードを実行することが可能であると推測しています。(CVE-2022-38477)

 - Mozilla Fuzzing Team のメンバーは、Firefox 103、Firefox ESR 102.1、および Firefox ESR 91.12 に存在するメモリ安全性のバグを報告しました。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、十分な労力をもってすればこれらの一部を悪用し、任意のコードを実行することが可能であると推測しています。(CVE-2022-38478)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

远程 macOS 或 Mac OS X 主机上安装的 Mozilla Firefox 版本低于 104.0。因此，该应用程序受到 mfsa2022-33 公告中提及的多个漏洞的影响。

 - 攻击者可能已滥用 XSLT 错误处理，将攻击者控制的内容与地址栏中显示的其他来源相关联。这可能被用来诱骗用户提交用于受欺骗的源的数据。 (CVE-2022-38472)

 - 引用 XSLT 文档的跨源 iframe 会继承父域的权限（例如麦克风或摄像头访问权限）。(CVE-2022-38473)

 - 有权访问麦克风的网站可在不显示音频通知的情况下录制音频。此缺陷不允许攻击者绕过权限提示，它仅影响授予权限后显示的通知。 此错误仅影响 Android 版 Firefox 。其他操作系统不受影响。(CVE-2022-38474)

 - 攻击者可能已向零长度 JavaScript 数组的第一个元素写入值。尽管数组的长度为零，但该值并未写入无效的内存地址。 (CVE-2022-38475)

 - Mozilla 开发人员 Nika Layzell 及 Mozilla Fuzzing 团队报告 Firefox 103 与 Firefox ESR 102.1 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测若攻击者付出足够努力，就能利用部分错误运行任意代码。(CVE-2022-38477)

 - Mozilla Fuzzing 团队成员报告 Firefox 103、Firefox ESR 102.1 与 Firefox ESR 91.12 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测若攻击者付出足够努力，就能利用部分错误运行任意代码。(CVE-2022-38478)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 macOS 或 Mac OS X 主機上安裝的 Firefox 版本比 104.0 版舊。因此，它受到 mfsa2022-33 公告中提及的多個弱點影響。

 - 攻擊者可濫用 XSLT 錯誤處理，將攻擊者控制的內容與位址列中顯示的另一個來源相關聯。藉此來誘騙使用者提交預定提供給偽造來源的資料。(CVE-2022-38472)

 - 參照 XSLT 文件的跨來源 iframe 會繼承父項網域的權限 (例如麥克風或相機存取權)。(CVE-2022-38473)

 - 有權存取麥克風的網站可在不顯示音訊通知的情況下錄製音訊。此錯誤不允許攻擊者略過權限提示，只有在授予權限後才會影響顯示的通知。 此問題僅會影響 Android 版 Firefox。其他作業系統不受影響。(CVE-2022-38474)

 - 攻擊者可將值寫入長度爲零的 JavaScript 陣列的第一個元素。雖然陣列的長度為零，但該值並未寫入無效的記憶體位址。(CVE-2022-38475)

 - Mozilla 開發人員 Nika Layzell 和 Mozilla Fuzzing 團隊報告 Firefox 103 和 Firefox ESR 102.1 中存在記憶體安全錯誤。其中某些錯誤顯示記憶體遭到損毀，我們推測若有心人士有意操控，可能利用其中部分錯誤執行任意程式碼。(CVE-2022-38477)

 - Mozilla Fuzzing 團隊成員報告 Firefox 103、Firefox ESR 102.1 和 Firefox ESR 91.12 中存在記憶體安全錯誤。其中某些錯誤顯示記憶體遭到損毀，我們推測若有心人士有意操控，可能利用其中部分錯誤執行任意程式碼。(CVE-2022-38478)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

The version of Firefox installed on the remote macOS or Mac OS X host is prior to 104.0. It is, therefore, affected by multiple vulnerabilities as referenced in the mfsa2022-33 advisory.

 - An attacker could have abused XSLT error handling to associate attacker-controlled content with another origin which was displayed in the address bar. This could have been used to fool the user into submitting data intended for the spoofed origin. (CVE-2022-38472)

 - A cross-origin iframe referencing an XSLT document would inherit the parent domain's permissions (such as microphone or camera access). (CVE-2022-38473)

 - A website that had permission to access the microphone could record audio without the audio notification being shown. This bug does not allow the attacker to bypass the permission prompt - it only affects the notification shown once permission has been granted. This bug only affects Firefox for Android. Other operating systems are unaffected. (CVE-2022-38474)

 - An attacker could have written a value to the first element in a zero-length JavaScript array. Although the array was zero-length, the value was not written to an invalid memory address. (CVE-2022-38475)

 - Mozilla developer Nika Layzell and the Mozilla Fuzzing Team reported memory safety bugs present in Firefox 103 and Firefox ESR 102.1. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. (CVE-2022-38477)

 - Members the Mozilla Fuzzing Team reported memory safety bugs present in Firefox 103, Firefox ESR 102.1, and Firefox ESR 91.12. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. (CVE-2022-38478)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

An update of the mozjs package has been released.

The remote host is affected by the vulnerability described in GLSA-202208-37 (Mozilla Firefox: Multiple Vulnerabilities)

 - An attacker could have abused XSLT error handling to associate attacker-controlled content with another origin which was displayed in the address bar. This could have been used to fool the user into submitting data intended for the spoofed origin. (CVE-2022-38472)

 - Mozilla: Cross-origin XSLT Documents would have inherited the parent's permissions (CVE-2022-38473)

 - A website that had permission to access the microphone could record audio without the audio notification being shown. This bug does not allow the attacker to bypass the permission prompt - it only affects the notification shown once permission has been granted. This bug only affects Firefox for Android. Other operating systems are unaffected. (CVE-2022-38474)

 - An attacker could have written a value to the first element in a zero-length JavaScript array. Although the array was zero-length, the value was not written to an invalid memory address. (CVE-2022-38475)

 - A data race could occur in the <code>PK11ChangePW</code> function, potentially leading to a use-after-free vulnerability. In Thunderbird, this lock protected the data when a user changed their master password.
 (CVE-2022-38476)

 - Mozilla developer Nika Layzell and the Mozilla Fuzzing Team reported memory safety bugs present in Thunderbird 102.1. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. (CVE-2022-38477)

 - Members the Mozilla Fuzzing Team reported memory safety bugs present in Thunderbird 102.1 and Thunderbird 91.12. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. (CVE-2022-38478)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The version of Firefox installed on the remote Windows host is prior to 104.0. It is, therefore, affected by multiple vulnerabilities as referenced in the mfsa2022-33 advisory.

 - An attacker could have abused XSLT error handling to associate attacker-controlled content with another origin which was displayed in the address bar. This could have been used to fool the user into submitting data intended for the spoofed origin. (CVE-2022-38472)

 - A cross-origin iframe referencing an XSLT document would inherit the parent domain's permissions (such as microphone or camera access). (CVE-2022-38473)

 - A website that had permission to access the microphone could record audio without the audio notification being shown. This bug does not allow the attacker to bypass the permission prompt - it only affects the notification shown once permission has been granted. This bug only affects Firefox for Android. Other operating systems are unaffected. (CVE-2022-38474)

 - An attacker could have written a value to the first element in a zero-length JavaScript array. Although the array was zero-length, the value was not written to an invalid memory address. (CVE-2022-38475)

 - Mozilla developer Nika Layzell and the Mozilla Fuzzing Team reported memory safety bugs present in Firefox 103 and Firefox ESR 102.1. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. (CVE-2022-38477)

 - Members the Mozilla Fuzzing Team reported memory safety bugs present in Firefox 103, Firefox ESR 102.1, and Firefox ESR 91.12. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. (CVE-2022-38478)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

遠端主機受到 GLSA-202208-37 中所述的弱點影響 (Mozilla Firefox：多個弱點)

  - 攻擊者可濫用 XSLT 錯誤處理，將攻擊者控制的內容與位址列中顯示的另一個來源相關聯。藉此來誘騙使用者提交預定提供給偽造來源的資料。(CVE-2022-38472)

  - Mozilla：跨來源 XSLT 文件會繼承父項的權限 (

遠端 Windows 主機上安裝的 Firefox 版本是 104.0 之前版本。因此，它受到 mfsa2022-33 公告中提及的多個弱點影響。

 - 攻擊者可濫用 XSLT 錯誤處理，將攻擊者控制的內容與位址列中顯示的另一個來源相關聯。藉此來誘騙使用者提交預定提供給偽造來源的資料。(CVE-2022-38472)

 - 參照 XSLT 文件的跨來源 iframe 會繼承父項網域的權限 (例如麥克風或相機存取權)。(CVE-2022-38473)

 - 有權存取麥克風的網站可在不顯示音訊通知的情況下錄製音訊。此錯誤不允許攻擊者略過權限提示，只有在授予權限後才會影響顯示的通知。 此問題僅會影響 Android 版 Firefox。其他作業系統不受影響。(CVE-2022-38474)

 - 攻擊者可將值寫入長度爲零的 JavaScript 陣列的第一個元素。雖然陣列的長度為零，但該值並未寫入無效的記憶體位址。(CVE-2022-38475)

 - Mozilla 開發人員 Nika Layzell 和 Mozilla Fuzzing 團隊報告 Firefox 103 和 Firefox ESR 102.1 中存在記憶體安全錯誤。其中某些錯誤顯示記憶體遭到損毀，我們推測若有心人士有意操控，可能利用其中部分錯誤執行任意程式碼。(CVE-2022-38477)

 - Mozilla Fuzzing 團隊成員報告 Firefox 103、Firefox ESR 102.1 和 Firefox ESR 91.12 中存在記憶體安全錯誤。其中某些錯誤顯示記憶體遭到損毀，我們推測若有心人士有意操控，可能利用其中部分錯誤執行任意程式碼。(CVE-2022-38478)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

远程主机受到 GLSA-202208-37 中所述漏洞的影响（Mozilla Firefox：多个漏洞）

  - 攻击者可能已滥用 XSLT 错误处理，将攻击者控制的内容与地址栏中显示的其他来源相关联。这可能被用来诱骗用户提交用于受欺骗的源的数据。 (CVE-2022-38472)

  - Mozilla：跨源 XSLT 文档会继承父项的权限 (

远程 Windows 主机上安装的 Firefox 版本低于 104.0。因此，该应用程序受到 mfsa2022-33 公告中提及的多个漏洞的影响。

 - 攻击者可能已滥用 XSLT 错误处理，将攻击者控制的内容与地址栏中显示的其他来源相关联。这可能被用来诱骗用户提交用于受欺骗的源的数据。 (CVE-2022-38472)

 - 引用 XSLT 文档的跨源 iframe 会继承父域的权限（例如麦克风或摄像头访问权限）。(CVE-2022-38473)

 - 有权访问麦克风的网站可在不显示音频通知的情况下录制音频。此缺陷不允许攻击者绕过权限提示，它仅影响授予权限后显示的通知。 此错误仅影响 Android 版 Firefox 。其他操作系统不受影响。(CVE-2022-38474)

 - 攻击者可能已向零长度 JavaScript 数组的第一个元素写入值。尽管数组的长度为零，但该值并未写入无效的内存地址。 (CVE-2022-38475)

 - Mozilla 开发人员 Nika Layzell 及 Mozilla Fuzzing 团队报告 Firefox 103 与 Firefox ESR 102.1 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测若攻击者付出足够努力，就能利用部分错误运行任意代码。(CVE-2022-38477)

 - Mozilla Fuzzing 团队成员报告 Firefox 103、Firefox ESR 102.1 与 Firefox ESR 91.12 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测若攻击者付出足够努力，就能利用部分错误运行任意代码。(CVE-2022-38478)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名稱	產品	系列	已發布	已更新	嚴重性
164343	Mozilla Firefox < 104.0	Nessus	MacOS X Local Security Checks	2022/8/23	2023/1/2	high
164344	Mozilla Firefox < 104.0	Nessus	Windows	2022/8/23	2023/1/2	high
164343	Mozilla Firefox < 104.0	Nessus	MacOS X Local Security Checks	2022/8/23	2023/1/2	high
164343	Mozilla Firefox < 104.0	Nessus	MacOS X Local Security Checks	2022/8/23	2023/1/2	high
164343	Mozilla Firefox < 104.0	Nessus	MacOS X Local Security Checks	2022/8/23	2023/1/2	high
204437	Photon OS 5.0: Mozjs PHSA-2023-5.0-0035	Nessus	PhotonOS Local Security Checks	2024/7/24	2024/7/24	critical
164594	GLSA-202208-37 : Mozilla Firefox: Multiple Vulnerabilities	Nessus	Gentoo Local Security Checks	2022/9/1	2023/10/13	high
164344	Mozilla Firefox < 104.0	Nessus	Windows	2022/8/23	2023/1/2	high
164594	GLSA-202208-37：Mozilla Firefox：多個弱點	Nessus	Gentoo Local Security Checks	2022/9/1	2023/10/13	high
164344	Mozilla Firefox < 104.0	Nessus	Windows	2022/8/23	2023/1/2	high
164594	GLSA-202208-37：Mozilla Firefox：多个漏洞	Nessus	Gentoo Local Security Checks	2022/9/1	2023/10/13	high
164344	Mozilla Firefox < 104.0	Nessus	Windows	2022/8/23	2023/1/2	high

偵測

搜尋 Plugin

high

high

high

high

high

critical

high

high

high

high

high

high