遠端 Windows 主機上安裝的 Firefox 版本是 133.0 之前版本。因此，該應用程式會受到 mfsa2024-63 公告中提及的多個弱點影響。

  - Apple 晶片 M 系列裝置上的某些 WebGL 操作可能導致超出邊界寫入和記憶體損毀，這是因為 Apple GPU 驅動程式中的瑕疵所導致。此錯誤只會影響 Apple M 系列硬體上的應用程式。其他平台不受影響。(CVE-2024-11691)

  - 惡意網站可能已經能夠透過 tapjacking 執行使用者意圖確認。這可導致使用者在不知情的情況下核准了外部應用程式的啟動，進而可能使其暴露於基礎弱點。(CVE-2024-11700)

  - 攻擊者可造成選取下拉式清單顯示在另一個索引標籤上；這可導致使用者混淆及可能的偽造攻擊。 (CVE-2024-11692)

  - 在中斷導覽嘗試期間，位址列中可能顯示錯誤的網域。
    這可導致使用者混淆，也可能觸發偽造攻擊。(CVE-2024-11701)

  - 從 Android 上的「隱私瀏覽」索引標籤複製敏感資訊 (例如密碼)，可能在啟用了雲端型剪貼簿歷程記錄時，不慎將資料儲存在雲端型剪貼簿歷程記錄中。(CVE-2024-11702)

  - 下載 .library-ms 檔案時未顯示可執行檔警告。注意：此問題僅影響 Windows 作業系統。其他作業系統不受影響。(CVE-2024-11693)

  - Enhanced Tracking Protection 的 Strict 模式可能不小心允許 CSP「frame-src」繞過，以及透過 Web 相容性延伸模組中的 Google SafeFrame shim 發生 DOM 型 XSS。此問題可使使用者暴露在偽裝成合法內容的惡意框架之下。 (CVE-2024-11694)

  - 包含阿拉伯文指令碼和空白字元的特製 URL 可隱藏頁面的真實來源，進而導致可能的偽造攻擊。 (CVE-2024-11695)

  - 在 Android 中，Firefox 可能不小心允許在未進行必要裝置 PIN 驗證的情況下檢視已儲存的密碼。 (CVE-2024-11703)

  - 應用程式無法將 `loadManifestFromFile` 方法在附加元件簽章驗證期間擲回的例外狀況納入考慮。此瑕疵由無效或不受支援的延伸資訊清單觸發，可造成中斷簽章驗證處理程序的運行時間錯誤。因此，可能已繞過無關附加元件的強制執行簽章驗證。此內容中的簽章驗證用於確保使用者電腦上的第三方應用程式未竄改使用者的延伸模組，進而限制此問題的影響。(CVE-2024-11696)

  - 處理 keypress 事件時，攻擊者可能誘騙使用者繞過 Open Executable File? 確認對話方塊。這可導致惡意程式碼執行。(CVE-2024-11697)

  - 處理錯誤路徑時，可在 `secpkcs7decoderstartdecrypt()` 中發生重複釋放問題。
    在特定情況下，相同的對稱金鑰可能遭到釋放兩次，進而可能導致記憶體損毀。(CVE-2024-11704)

  - 處理全螢幕轉換時有一個瑕疵，可能在轉換期間開啟模態對話方塊時，不慎造成應用程式在全螢幕模式中停滯。此問題會導致使用者無法使用標準動作 (例如按下 Esc 或存取右鍵點擊功能表) 結束全螢幕模式，進而導致瀏覽器體驗中斷，直到重新啟動瀏覽器為止。此錯誤只會影響在 macOS 上執行的應用程式。其他作業系統不受影響。(CVE-2024-11698)

  - <code>NSCDeriveKey</code> 不慎假設 <code>phKey</code> 參數一律為非 NULL。
    當其作為 NULL 傳遞時，會發生分割錯誤 (SEGV)，進而導致當機。此行為與 PKCS#11 v3.0 規格相衝突，進而允許 <code>phKey</code> 對於某些機制為 NULL。(CVE-2024-11705)

  - 處理格式錯誤或格式不正確的輸入檔案時，可能在 `pk12util` 中意外發生一個 null 指標解除參照問題，尤其是在 <code>SECASN1DecodeItemUtil</code> 函式中。
    (CVE-2024-11706)

  - 遺漏執行緒同步原語可導致 PlaybackParams 結構成員發生資料爭用。(CVE-2024-11708)

  - Firefox 132、Firefox ESR 128.4 和 Thunderbird 128.4 中存在記憶體安全錯誤。其中某些錯誤顯示記憶體遭到損毀，我們推測若有心人士有意操控，可能利用其中部分錯誤執行任意程式碼。(CVE-2024-11699)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5858 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5858-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 2 月 5 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：firefox-esr CVE ID：CVE-2024-11704 CVE-2025-1009 CVE-2025-1010 CVE-2025-1011 CVE-2025-1012 CVE-2025-1013 CVE-2025-1014 CVE-2025-1016 CVE-2025-1017

    在 Mozilla Firefox 網頁瀏覽器中發現多個安全性問題，可能會導致任意程式碼執行。

    針對穩定的發行版本 (bookworm)，已在版本 128.7.0esr-1~deb12u1 中修正這些問題。

    建議您升級 firefox-esr 套件。

    如需有關 firefox-esr 安全性狀態的詳細資訊，請參閱其安全追蹤頁面 :
    https://security-tracker.debian.org/tracker/firefox-esr

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單: debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 macOS 或 Mac OS X 主機上安裝的 Thunderbird 版本比 128.7 版舊。因此，此主機受到 mfsa2025-10 公告中所提及的多個弱點影響。

  - 在 Firefox 134、Thunderbird 134、Firefox ESR 115.19、Firefox ESR 128.6、Thunderbird 115.19 和 Thunderbird 128.6 中存在記憶體安全錯誤。某些錯誤顯示記憶體會遭到損毀，我們推測若有心人士有意操控，可能惡意利用其中部分錯誤執行任意程式碼。
    (CVE-2025-1016)

  - 處理錯誤路徑時，`secpkcs7decoderstartdecrypt()` 可能發生重複釋放問題。
    在特定情況下，相同的對稱金鑰可能被重複釋放，這可能導致記憶體損毀。(CVE-2024-11704)

  攻擊者可能透過特製的 XSLT 資料造成釋放後使用錯誤，進而引發可能遭利用的當機問題。(CVE-2025-1009)

  - 攻擊者可能透過 Custom Highlight API 造成釋放後使用錯誤，進而導致可能遭利用的當機問題。(CVE-2025-1010)

  - WebAssembly 程式碼產生過程中存在錯誤，可能導致當機。攻擊者可能利用此弱點來執行程式碼。(CVE-2025-1011)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Windows 主機上安裝的 Firefox ESR 為 128.7 之前版本。因此，此主機受到 mfsa2025-09 公告中所提及的多個弱點影響。

  - 在 Firefox 134、Thunderbird 134、Firefox ESR 115.19、Firefox ESR 128.6、Thunderbird 115.19 和 Thunderbird 128.6 中存在記憶體安全錯誤。某些錯誤顯示記憶體會遭到損毀，我們推測若有心人士有意操控，可能惡意利用其中部分錯誤執行任意程式碼。
    (CVE-2025-1016)

  - 處理錯誤路徑時，`secpkcs7decoderstartdecrypt()` 可能發生重複釋放問題。
    在特定情況下，相同的對稱金鑰可能被重複釋放，這可能導致記憶體損毀。(CVE-2024-11704)

  攻擊者可能透過特製的 XSLT 資料造成釋放後使用錯誤，進而引發可能遭利用的當機問題。(CVE-2025-1009)

  - 攻擊者可能透過 Custom Highlight API 造成釋放後使用錯誤，進而導致可能遭利用的當機問題。(CVE-2025-1010)

  - WebAssembly 程式碼產生過程中存在錯誤，可能導致當機。攻擊者可能利用此弱點來執行程式碼。(CVE-2025-1011)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4045 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4045-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2025 年 2 月 7 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：thunderbird 版本：1:128.7.0esr-1~deb11u1 CVE ID：CVE-2024-11704 CVE-2025-1009 CVE-2025-1010 CVE-2025-1011 CVE-2025-1012 CVE-2025-1013 CVE-2025-1014 CVE-2025-1016 CVE-2025-1017

    在 Thunderbird 中發現多個安全性問題，可導致任意程式碼執行攻擊。

    針對 Debian 11 bullseye，已在版本 1:128.7.0esr-1~deb11u1 中修正這些問題。

    建議您升級 thunderbird 套件。

    如需有關 thunderbird 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/thunderbird

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Windows 主機上安裝的 Thunderbird 版本比 133.0 舊。因此，該應用程式會受到 mfsa2024-67 公告中提及的多個弱點影響。

  - Apple 晶片 M 系列裝置上的某些 WebGL 操作可能導致超出邊界寫入和記憶體損毀，這是因為 Apple GPU 驅動程式中的瑕疵所導致。此錯誤只會影響 Apple M 系列硬體上的應用程式。其他平台不受影響。(CVE-2024-11691)

  - 惡意網站可能已經能夠透過 tapjacking 執行使用者意圖確認。這可導致使用者在不知情的情況下核准了外部應用程式的啟動，進而可能使其暴露於基礎弱點。(CVE-2024-11700)

  - 攻擊者可造成選取下拉式清單顯示在另一個索引標籤上；這可導致使用者混淆及可能的偽造攻擊。 (CVE-2024-11692)

  - 在中斷導覽嘗試期間，位址列中可能顯示錯誤的網域。
    這可導致使用者混淆，也可能觸發偽造攻擊。(CVE-2024-11701)

  - 從 Android 上的「隱私瀏覽」索引標籤複製敏感資訊 (例如密碼)，可能在啟用了雲端型剪貼簿歷程記錄時，不慎將資料儲存在雲端型剪貼簿歷程記錄中。(CVE-2024-11702)

  - 下載 .library-ms 檔案時未顯示可執行檔警告。注意：此問題僅影響 Windows 作業系統。其他作業系統不受影響。(CVE-2024-11693)

  - Enhanced Tracking Protection 的 Strict 模式可能不小心允許 CSP「frame-src」繞過，以及透過 Web 相容性延伸模組中的 Google SafeFrame shim 發生 DOM 型 XSS。此問題可使使用者暴露在偽裝成合法內容的惡意框架之下。 (CVE-2024-11694)

  - 包含阿拉伯文指令碼和空白字元的特製 URL 可隱藏頁面的真實來源，進而導致可能的偽造攻擊。 (CVE-2024-11695)

  - 應用程式無法將 `loadManifestFromFile` 方法在附加元件簽章驗證期間擲回的例外狀況納入考慮。此瑕疵由無效或不受支援的延伸資訊清單觸發，可造成中斷簽章驗證處理程序的運行時間錯誤。因此，可能已繞過無關附加元件的強制執行簽章驗證。此內容中的簽章驗證用於確保使用者電腦上的第三方應用程式未竄改使用者的延伸模組，進而限制此問題的影響。(CVE-2024-11696)

  - 處理 keypress 事件時，攻擊者可能誘騙使用者繞過 Open Executable File? 確認對話方塊。這可導致惡意程式碼執行。(CVE-2024-11697)

  - 處理錯誤路徑時，可在 `secpkcs7decoderstartdecrypt()` 中發生重複釋放問題。
    在特定情況下，相同的對稱金鑰可能遭到釋放兩次，進而可能導致記憶體損毀。(CVE-2024-11704)

  - 處理全螢幕轉換時有一個瑕疵，可能在轉換期間開啟模態對話方塊時，不慎造成應用程式在全螢幕模式中停滯。此問題會導致使用者無法使用標準動作 (例如按下 Esc 或存取右鍵點擊功能表) 結束全螢幕模式，進而導致瀏覽器體驗中斷，直到重新啟動瀏覽器為止。此錯誤只會影響在 macOS 上執行的應用程式。其他作業系統不受影響。(CVE-2024-11698)

  - <code>NSCDeriveKey</code> 不慎假設 <code>phKey</code> 參數一律為非 NULL。
    當其作為 NULL 傳遞時，會發生分割錯誤 (SEGV)，進而導致當機。此行為與 PKCS#11 v3.0 規格相衝突，進而允許 <code>phKey</code> 對於某些機制為 NULL。(CVE-2024-11705)

  - 處理格式錯誤或格式不正確的輸入檔案時，可能在 `pk12util` 中意外發生一個 null 指標解除參照問題，尤其是在 <code>SECASN1DecodeItemUtil</code> 函式中。
    (CVE-2024-11706)

  - 遺漏執行緒同步原語可導致 PlaybackParams 結構成員發生資料爭用。(CVE-2024-11708)

  - Firefox 132、Thunderbird 132、Firefox ESR 128.4 和 Thunderbird 128.4 中存在記憶體安全錯誤。其中某些錯誤顯示記憶體遭到損毀，我們推測若有心人士有意操控，可能利用其中部分錯誤執行任意程式碼。(CVE-2024-11699)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Ubuntu 20.04 LTS 主機上安裝的套件受到 USN-7134-1 公告中所提及的多個弱點影響。

    在 Firefox 中發現多個安全性問題。如果使用者遭誘騙而開啟特別建構的網站，攻擊者可能會利用這些問題造成拒絕服務、跨網域取得敏感資訊，或是執行任意程式碼。(CVE-2024-11692、CVE-2024-11694、CVE-2024-11695、CVE-2024-11696、CVE-2024-11697、CVE-2024-11699、CVE-2024-11701、CVE-2024-11704、CVE-2024-11705、CVE-2024-11706、CVE-2024-11708)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機受到 GLSA-202501-10 中所述的弱點影響 (Mozilla Firefox：多個弱點)

    已在 Mozilla Firefox 中發現多個弱點。如需詳細資訊，請檢閱下方提及的 CVE 識別碼。

Tenable 已直接從 Gentoo Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 macOS 或 Mac OS X 主機上安裝的 Firefox ESR 版本比 128.7 版舊。因此，此主機受到 mfsa2025-09 公告中所提及的多個弱點影響。

  - 在 Firefox 134、Thunderbird 134、Firefox ESR 115.19、Firefox ESR 128.6、Thunderbird 115.19 和 Thunderbird 128.6 中存在記憶體安全錯誤。某些錯誤顯示記憶體會遭到損毀，我們推測若有心人士有意操控，可能惡意利用其中部分錯誤執行任意程式碼。
    (CVE-2025-1016)

  - 處理錯誤路徑時，`secpkcs7decoderstartdecrypt()` 可能發生重複釋放問題。
    在特定情況下，相同的對稱金鑰可能被重複釋放，這可能導致記憶體損毀。(CVE-2024-11704)

  攻擊者可能透過特製的 XSLT 資料造成釋放後使用錯誤，進而引發可能遭利用的當機問題。(CVE-2025-1009)

  - 攻擊者可能透過 Custom Highlight API 造成釋放後使用錯誤，進而導致可能遭利用的當機問題。(CVE-2025-1010)

  - WebAssembly 程式碼產生過程中存在錯誤，可能導致當機。攻擊者可能利用此弱點來執行程式碼。(CVE-2025-1011)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 mozilla-firefox 版本低於 128.7.0esr。因此會受到 SSA:2025-035-01 公告中提及的多個弱點影響。

    現已提供適用於 Slackware 15.0 和最新版本的新 mozilla-firefox 套件，可修復安全性問題。

Tenable 已直接從 mozilla-firefox 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 macOS 或 Mac OS X 主機上安裝的 Thunderbird 版本比 133.0 版舊。因此，該應用程式會受到 mfsa2024-67 公告中提及的多個弱點影響。

  - Apple 晶片 M 系列裝置上的某些 WebGL 操作可能導致超出邊界寫入和記憶體損毀，這是因為 Apple GPU 驅動程式中的瑕疵所導致。此錯誤只會影響 Apple M 系列硬體上的應用程式。其他平台不受影響。(CVE-2024-11691)

  - 惡意網站可能已經能夠透過 tapjacking 執行使用者意圖確認。這可導致使用者在不知情的情況下核准了外部應用程式的啟動，進而可能使其暴露於基礎弱點。(CVE-2024-11700)

  - 攻擊者可造成選取下拉式清單顯示在另一個索引標籤上；這可導致使用者混淆及可能的偽造攻擊。 (CVE-2024-11692)

  - 在中斷導覽嘗試期間，位址列中可能顯示錯誤的網域。
    這可導致使用者混淆，也可能觸發偽造攻擊。(CVE-2024-11701)

  - 從 Android 上的「隱私瀏覽」索引標籤複製敏感資訊 (例如密碼)，可能在啟用了雲端型剪貼簿歷程記錄時，不慎將資料儲存在雲端型剪貼簿歷程記錄中。(CVE-2024-11702)

  - 下載 .library-ms 檔案時未顯示可執行檔警告。注意：此問題僅影響 Windows 作業系統。其他作業系統不受影響。(CVE-2024-11693)

  - Enhanced Tracking Protection 的 Strict 模式可能不小心允許 CSP「frame-src」繞過，以及透過 Web 相容性延伸模組中的 Google SafeFrame shim 發生 DOM 型 XSS。此問題可使使用者暴露在偽裝成合法內容的惡意框架之下。 (CVE-2024-11694)

  - 包含阿拉伯文指令碼和空白字元的特製 URL 可隱藏頁面的真實來源，進而導致可能的偽造攻擊。 (CVE-2024-11695)

  - 應用程式無法將 `loadManifestFromFile` 方法在附加元件簽章驗證期間擲回的例外狀況納入考慮。此瑕疵由無效或不受支援的延伸資訊清單觸發，可造成中斷簽章驗證處理程序的運行時間錯誤。因此，可能已繞過無關附加元件的強制執行簽章驗證。此內容中的簽章驗證用於確保使用者電腦上的第三方應用程式未竄改使用者的延伸模組，進而限制此問題的影響。(CVE-2024-11696)

  - 處理 keypress 事件時，攻擊者可能誘騙使用者繞過 Open Executable File?確認對話方塊。這可導致惡意程式碼執行。(CVE-2024-11697)

  - 處理錯誤路徑時，可在 `secpkcs7decoderstartdecrypt()` 中發生重複釋放問題。
    在特定情況下，相同的對稱金鑰可能遭到釋放兩次，進而可能導致記憶體損毀。 (CVE-2024-11704)

  - 處理全螢幕轉換時有一個瑕疵，可能在轉換期間開啟模態對話方塊時，不慎造成應用程式在全螢幕模式中停滯。此問題會導致使用者無法使用標準動作 (例如按下 Esc 或存取右鍵點擊功能表) 結束全螢幕模式，進而導致瀏覽器體驗中斷，直到重新啟動瀏覽器為止。此錯誤只會影響在 macOS 上執行的應用程式。其他作業系統不受影響。(CVE-2024-11698)

  - <code>NSCDeriveKey</code> 不慎假設 <code>phKey</code> 參數一律為非 NULL。
    當其作為 NULL 傳遞時，會發生分割錯誤 (SEGV)，進而導致當機。此行為與 PKCS#11 v3.0 規格相衝突，進而允許 <code>phKey</code> 對於某些機制為 NULL。(CVE-2024-11705)

  - 處理格式錯誤或格式不正確的輸入檔案時，可能在 `pk12util` 中意外發生一個 null 指標解除參照問題，尤其是在 <code>SECASN1DecodeItemUtil</code> 函式中。
    (CVE-2024-11706)

  - 遺漏執行緒同步原語可導致 PlaybackParams 結構成員發生資料爭用。(CVE-2024-11708)

  - Firefox 132、Thunderbird 132、Firefox ESR 128.4 和 Thunderbird 128.4 中存在記憶體安全錯誤。其中某些錯誤顯示記憶體遭到損毀，我們推測若有心人士有意操控，可能利用其中部分錯誤執行任意程式碼。(CVE-2024-11699)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 macOS 或 Mac OS X 主機上安裝的 Firefox 版本比 133.0 版舊。因此，該應用程式會受到 mfsa2024-63 公告中提及的多個弱點影響。

  - Apple 晶片 M 系列裝置上的某些 WebGL 操作可能導致超出邊界寫入和記憶體損毀，這是因為 Apple GPU 驅動程式中的瑕疵所導致。此錯誤只會影響 Apple M 系列硬體上的應用程式。其他平台不受影響。(CVE-2024-11691)

  - 惡意網站可能已經能夠透過 tapjacking 執行使用者意圖確認。這可導致使用者在不知情的情況下核准了外部應用程式的啟動，進而可能使其暴露於基礎弱點。(CVE-2024-11700)

  - 攻擊者可造成選取下拉式清單顯示在另一個索引標籤上；這可導致使用者混淆及可能的偽造攻擊。 (CVE-2024-11692)

  - 在中斷導覽嘗試期間，位址列中可能顯示錯誤的網域。
    這可導致使用者混淆，也可能觸發偽造攻擊。(CVE-2024-11701)

  - 從 Android 上的「隱私瀏覽」索引標籤複製敏感資訊 (例如密碼)，可能在啟用了雲端型剪貼簿歷程記錄時，不慎將資料儲存在雲端型剪貼簿歷程記錄中。(CVE-2024-11702)

  - 下載 .library-ms 檔案時未顯示可執行檔警告。注意：此問題僅影響 Windows 作業系統。其他作業系統不受影響。(CVE-2024-11693)

  - Enhanced Tracking Protection 的 Strict 模式可能不小心允許 CSP「frame-src」繞過，以及透過 Web 相容性延伸模組中的 Google SafeFrame shim 發生 DOM 型 XSS。此問題可使使用者暴露在偽裝成合法內容的惡意框架之下。 (CVE-2024-11694)

  - 包含阿拉伯文指令碼和空白字元的特製 URL 可隱藏頁面的真實來源，進而導致可能的偽造攻擊。 (CVE-2024-11695)

  - 在 Android 中，Firefox 可能不小心允許在未進行必要裝置 PIN 驗證的情況下檢視已儲存的密碼。 (CVE-2024-11703)

  - 應用程式無法將 `loadManifestFromFile` 方法在附加元件簽章驗證期間擲回的例外狀況納入考慮。此瑕疵由無效或不受支援的延伸資訊清單觸發，可造成中斷簽章驗證處理程序的運行時間錯誤。因此，可能已繞過無關附加元件的強制執行簽章驗證。此內容中的簽章驗證用於確保使用者電腦上的第三方應用程式未竄改使用者的延伸模組，進而限制此問題的影響。(CVE-2024-11696)

  - 處理 keypress 事件時，攻擊者可能誘騙使用者繞過 Open Executable File?確認對話方塊。這可導致惡意程式碼執行。(CVE-2024-11697)

  - 處理錯誤路徑時，可在 `secpkcs7decoderstartdecrypt()` 中發生重複釋放問題。
    在特定情況下，相同的對稱金鑰可能遭到釋放兩次，進而可能導致記憶體損毀。 (CVE-2024-11704)

  - 處理全螢幕轉換時有一個瑕疵，可能在轉換期間開啟模態對話方塊時，不慎造成應用程式在全螢幕模式中停滯。此問題會導致使用者無法使用標準動作 (例如按下 Esc 或存取右鍵點擊功能表) 結束全螢幕模式，進而導致瀏覽器體驗中斷，直到重新啟動瀏覽器為止。此錯誤只會影響在 macOS 上執行的應用程式。其他作業系統不受影響。(CVE-2024-11698)

  - <code>NSCDeriveKey</code> 不慎假設 <code>phKey</code> 參數一律為非 NULL。
    當其作為 NULL 傳遞時，會發生分割錯誤 (SEGV)，進而導致當機。此行為與 PKCS#11 v3.0 規格相衝突，進而允許 <code>phKey</code> 對於某些機制為 NULL。(CVE-2024-11705)

  - 處理格式錯誤或格式不正確的輸入檔案時，可能在 `pk12util` 中意外發生一個 null 指標解除參照問題，尤其是在 <code>SECASN1DecodeItemUtil</code> 函式中。
    (CVE-2024-11706)

  - 遺漏執行緒同步原語可導致 PlaybackParams 結構成員發生資料爭用。(CVE-2024-11708)

  - Firefox 132、Firefox ESR 128.4 和 Thunderbird 128.4 中存在記憶體安全錯誤。其中某些錯誤顯示記憶體遭到損毀，我們推測若有心人士有意操控，可能利用其中部分錯誤執行任意程式碼。(CVE-2024-11699)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機受到 GLSA-202505-03 中所述的弱點影響 (Mozilla Thunderbird：多個弱點)

    在 Mozilla Thunderbird 中發現多個弱點。如需詳細資訊，請檢閱下方提及的 CVE 識別碼。

Tenable 已直接從 Gentoo Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Windows 主機上安裝的 Thunderbird 版本比 128.7 舊。因此，此主機受到 mfsa2025-10 公告中所提及的多個弱點影響。

  - 在 Firefox 134、Thunderbird 134、Firefox ESR 115.19、Firefox ESR 128.6、Thunderbird 115.19 和 Thunderbird 128.6 中存在記憶體安全錯誤。某些錯誤顯示記憶體會遭到損毀，我們推測若有心人士有意操控，可能惡意利用其中部分錯誤執行任意程式碼。
    (CVE-2025-1016)

  - 處理錯誤路徑時，`secpkcs7decoderstartdecrypt()` 可能發生重複釋放問題。
    在特定情況下，相同的對稱金鑰可能被重複釋放，這可能導致記憶體損毀。(CVE-2024-11704)

  攻擊者可能透過特製的 XSLT 資料造成釋放後使用錯誤，進而引發可能遭利用的當機問題。(CVE-2025-1009)

  - 攻擊者可能透過 Custom Highlight API 造成釋放後使用錯誤，進而導致可能遭利用的當機問題。(CVE-2025-1010)

  - WebAssembly 程式碼產生過程中存在錯誤，可能導致當機。攻擊者可能利用此弱點來執行程式碼。(CVE-2025-1011)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4044 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4044-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2025 年 2 月 7 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：firefox-esr 版本：128.7.0esr-1~deb11u1 CVE ID：CVE-2024-11704 CVE-2025-1009 CVE-2025-1010 CVE-2025-1011 CVE-2025-1012 CVE-2025-1013 CVE-2025-1014 CVE-2025-1016 CVE-2025-1017

    在 Mozilla Firefox 網頁瀏覽器中發現多個安全性問題，可能會導致任意程式碼執行。

    針對 Debian 11 Bullseye，已在版本 128.7.0esr-1~deb11u1 中修正這些問題。

    建議您升級 firefox-esr 套件。

    如需有關 firefox-esr 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/firefox-esr

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
211872	Mozilla Firefox < 133.0	Nessus	Windows	2024/11/26	2025/3/6	critical
215021	Debian dsa-5858：firefox-esr - 安全性更新	Nessus	Debian Local Security Checks	2025/2/5	2025/2/7	critical
214963	Mozilla Thunderbird < 128.7	Nessus	MacOS X Local Security Checks	2025/2/4	2025/2/7	critical
214957	Mozilla Firefox ESR < 128.7	Nessus	Windows	2025/2/4	2025/3/6	critical
215142	Debian dla-4045：thunderbird - 安全性更新	Nessus	Debian Local Security Checks	2025/2/7	2025/3/6	critical
211868	Mozilla Thunderbird < 133.0	Nessus	Windows	2024/11/26	2024/12/2	critical
212017	Ubuntu 20.04 LTS：Firefox 弱點 (USN-7134-1)	Nessus	Ubuntu Local Security Checks	2024/12/3	2025/3/6	critical
214554	GLSA-202501-10：Mozilla Firefox：多個弱點	Nessus	Gentoo Local Security Checks	2025/1/23	2025/3/6	high
214956	Mozilla Firefox ESR < 128.7	Nessus	MacOS X Local Security Checks	2025/2/4	2025/3/6	critical
214968	Slackware Linux 15.0 / 最新版 mozilla-firefox 多個弱點 (SSA:2025-035-01)	Nessus	Slackware Local Security Checks	2025/2/4	2025/2/7	critical
211869	Mozilla Thunderbird < 133.0	Nessus	MacOS X Local Security Checks	2024/11/26	2024/12/2	critical
211873	Mozilla Firefox < 133.0	Nessus	MacOS X Local Security Checks	2024/11/26	2025/3/6	critical
235704	GLSA-202505-03：Mozilla Thunderbird：多個弱點	Nessus	Gentoo Local Security Checks	2025/5/12	2025/5/12	medium
214962	Mozilla Thunderbird < 128.7	Nessus	Windows	2025/2/4	2025/2/7	critical
215143	Debian dla-4044：firefox-esr - 安全性更新	Nessus	Debian Local Security Checks	2025/2/7	2025/2/7	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical

high

critical

critical

critical

critical

medium

critical

critical