這是 SeaMonkey 2.26 版的更新：

- MFSA 2014-34/CVE-2014-1518/CVE-2014-1519 其他記憶體安全危險

- MFSA 2014-36/CVE-2014-1522 (bmo#995289) Web Audio 記憶體損毀問題

- MFSA 2014-37/CVE-2014-1523 (bmo#969226) 解碼 JPG 影像時發生超出邊界讀取問題

- MFSA 2014-38/CVE-2014-1524 (bmo#989183) 將非 XBL 物件作為 XBL 使用時發生緩衝區溢位

- MFSA 2014-39/CVE-2014-1525 (bmo#989210) 針對 HTML 視訊，Text Track Manager 發生釋放後使用問題

- MFSA 2014-41/CVE-2014-1528 (bmo#963962) Cairo 有超出邊界寫入問題

- MFSA 2014-42/CVE-2014-1529 (bmo#987003) 透過 Web 通知 API 提升權限

- MFSA 2014-43/CVE-2014-1530 (bmo#895557) 使用歷程記錄導覽時發生跨網站指令碼 (XSS) 問題

- MFSA 2014-44/CVE-2014-1531 (bmo#987140) 調整影像大小時 imgLoader 中發生釋放後使用問題

- MFSA 2014-45/CVE-2014-1492 (bmo#903885) 萬用字元憑證的 IDNA 網域名稱比對不正確 (已由 NSS 3.16 修正)

- MFSA 2014-46/CVE-2014-1532 (bmo#966006) nsHostResolver 中發生釋放後使用問題

- MFSA 2014-47/CVE-2014-1526 (bmo#988106) 除錯程式可使用 JavaScript 繞過 XrayWrapper

- 重定基底修補程式

- 新增 aarch64 移植修補程式

- mozilla-aarch64-bmo-810631.patch

- mozilla-aarch64-bmo-962488.patch

- mozilla-aarch64-bmo-963023.patch

- mozilla-aarch64-bmo-963024.patch

- mozilla-aarch64-bmo-963027.patch

- 需要 NSPR 4.10.3 和 NSS 3.16

- 已新增 mozilla-icu-strncat.patch 來修正構建後檢查

遠端主機受到 GLSA-201504-01 中所述的弱點影響 (Mozilla 產品：多個弱點)

    在 Firefox、Thunderbird 和 SeaMonkey 中發現多個弱點。如需詳細資訊，請檢閱下方提及的 CVE 識別碼。
  影響：

    遠端攻擊者可能引誘使用者檢視特製的網頁或電子郵件，進而可能導致執行任意程式碼或拒絕服務情況。此外，遠端攻擊者還可能發動攔截式攻擊、取得敏感資訊、偽造位址列、發動點擊劫持攻擊、繞過安全性限制和保護機制，或造成其他不明影響。
  因應措施：

    目前尚無任何已知的因應措施。

安装的 Firefox ESR 24.x 版本低于 24.5 版。
因此，它可能会受到以下漏洞的影响：

- 存在内存问题，可导致执行任意代码。（CVE-2014-1518、CVE-2014-1519）

- 存在关于“Mozilla 维护服务”的问题，可在更新进程中因创建可写的临时目录而导致权限升级。(CVE-2014-1520)

- 当解码某些 JPG 图像时，存在越界读取问题，可能导致拒绝服务。(CVE-2014-1523)

- 存在因 XBL 对象验证不当导致的内存损坏问题，可造成任意代码执行。(CVE-2014-1524)

- 在 Web 通知 API 中存在安全绕过问题，可导致任意代码执行。
 (CVE-2014-1529)

- 存在跨站脚本问题，可允许攻击者加载地址栏所显示的网站 URL 以外的其他网站。
 (CVE-2014-1530)

- 在调整大小时释放的“imgLoader”对象导致释放后使用问题。此问题可造成执行任意代码。(CVE-2014-1531)

- 在主机解析期间存在一个释放后使用问题，可导致任意代码执行。
 (CVE-2014-1532)

安装的 SeaMonkey 版本低于 2.26，因此可能受到以下漏洞的影响：

- 网络安全 (NSS) 库中存在问题，原因是没有正确地为通配符证书处理 IDNA 域前缀。此问题可导致中间人攻击。(CVE-2014-1492)

- 存在内存问题，可导致执行任意代码。（CVE-2014-1518、CVE-2014-1519）

- Web 音频功能中存在越界读取问题，可导致信息泄露。
 (CVE-2014-1522)

- 当解码某些 JPG 图像时，存在越界读取问题，可能导致拒绝服务。(CVE-2014-1523)

- 存在因 XBL 对象验证不当导致的内存损坏问题，可造成任意代码执行。(CVE-2014-1524)

- 在 HTML 视频处理期间，在文本跟踪管理器中存在一个释放后使用内存问题，可导致任意代码执行。(CVE-2014-1525)

- 存在关于调试程序绕过 XrayWrapper 的问题，可导致权限升级。
 (CVE-2014-1526)

- 在 Cairo 图形库中存在越界写入问题，可能导致任意代码执行。	请注意，此问题仅影响 Firefox 28 和低于版本 2.26 的 SeaMonkey。(CVE-2014-1528)

- 在 Web 通知 API 中存在安全绕过问题，可导致任意代码执行。
 (CVE-2014-1529)

- 存在跨站脚本问题，可允许攻击者加载地址栏所显示的网站 URL 以外的其他网站。
 (CVE-2014-1530)

- 在调整大小时释放的“imgLoader”对象导致释放后使用问题。此问题可造成执行任意代码。(CVE-2014-1531)

- 在主机解析期间存在一个释放后使用问题，可导致任意代码执行。
 (CVE-2014-1532)

更新到最新上游。

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程 Ubuntu 14.04 LTS 主机上安装的多个程序包受到 USN-2185-1 公告中提及的多个漏洞影响。

    Bobby Holley、Carsten Book、Christoph Diehl、Gary Kwong、Jan de Mooij、Jesse Ruderman、Nathan Froyd、John Schoenick、Karl Tomlinson、Vladimir Vukicevic 和 Christian Holler 在 Firefox 中发现多种内存安全问题。如果用户受到诱骗打开特别构建的网站，攻击者可能利用这些漏洞，通过应用程序崩溃造成拒绝服务，或者调用 Firefox 的用户的权限执行任意代码。（CVE-2014-1518、CVE-2014-1519）

    在 Web 音频中发现越界读取。攻击者可能利用此漏洞通过应用程序崩溃造成拒绝服务，或者调用 Firefox 的用户的权限执行任意代码。(CVE-2014-1522)

    Abhishek Arya 发现在解码 JPG 图像时，存在越界读取。攻击者可能利用此漏洞通过应用程序崩溃而造成拒绝服务。(CVE-2014-1523)

    Abhishek Arya 发现，当脚本将非 XBL 对象当成 XBL 对象时，存在缓冲区溢出。攻击者可能利用该漏洞，调用 Firefox 的用户的权限执行任意代码。(CVE-2014-1524)

    Abhishek Arya 发现文本跟踪管理器处理 HTML 视频时存在释放后使用。攻击者可能利用此漏洞通过应用程序崩溃造成拒绝服务，或者以调用 Firefox 的用户的权限执行任意代码。(CVE-2014-1525)

    Jukka Jylnki 发现 Cairo 在某些情况下与 canvas 一起工作时存在越界写入。
    攻击者可能利用此漏洞通过应用程序崩溃造成拒绝服务，或者以调用 Firefox 的用户的权限执行任意代码。(CVE-2014-1528)

    Mariusz Mlynski 发现，具有通知权限的站点可在某些情况下，在特权上下文中运行脚本。攻击者可利用此漏洞，以调用 Firefox 的用户的权限执行任意代码。(CVE-2014-1529)

    已发现浏览器历史记录导航可用来加载其地址栏显示错误地址的站点。攻击者可能利用此漏洞执行跨站脚本或钓鱼攻击。(CVE-2014-1530)

    在某些情况下，当调整图像的大小时，发现释放后使用。攻击者可能利用此漏洞通过应用程序崩溃造成拒绝服务，或者以调用 Firefox 的用户的权限执行任意代码。(CVE-2014-1531)

    Christian Heimes 发现 NSS 未正确处理通配符证书的 IDNA 域前缀。攻击者可能通过使用特别构建的证书利用此问题来执行中间机攻击。(CVE-2014-1492)

    Tyson Smith 和 Jesse Schwartzentruber 发现，在某些情况下进行主机解析时，存在释放后使用。攻击者可能利用此漏洞通过应用程序崩溃造成拒绝服务，或者以调用 Firefox 的用户的权限执行任意代码。(CVE-2014-1532)

    Boris Zbarsky 发现调试程序绕过某些对象的 XrayWrapper。如果用户受到诱骗在使用调试程序时打开特别构建的网站，攻击者可以利用此漏洞以调用 Firefox 的用户的权限执行任意代码。(CVE-2014-1526)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Versions of Mozilla Firefox ESR prior to 24.5 are unpatched against the following vulnerabilities :

 - Use-after-free vulnerabilities in nsHostResolver, imgLoader, and Text Track Manager (for HTML video), which can crash with a potentially exploitable condition (CVE-2014-1532, CVE-2014-1531, CVE-2014-1525)
 - A potentially exploitable out-of-bounds write in Cairo, a potentially exploitable out-of-bounds read issue with Web Audio, and a non-exploitable out-of-bounds read when decoding JPG images (CVE-2014-1528, CVE-2014-1522, CVE-2014-1523)
 - Improper wildcard matching of domains in the Network Security Services (NSS library), which has since been fixed by updating to version 3.16 (CVE-2014-1492)
 - Potential privilege escalation via Xray Wrappers bypass, which can occur if a user used the debugger to interact with a malicious page (CVE-2014-1526)
 - Privilege escalation for scripts when sites that have been granted notification permissions by a user can bypass security checks on source components for the Web Notification API (CVE-2014-1529)
 - Privilege escalation via the Mozilla Maintenance Service Installer, which writes to a globally writeable temporary directory during the update process (Windows only) (CVE-2014-1520)
 - A potentially exploitable buffer overflow when a script uses a non-XBL object as an XBL object (CVE-2014-1524)
 - A cross-site scripting vulnerability using browser navigations through history to load a website with the page's base URI pointing to a different site (CVE-2014-1530)
 - Various memory safety hazards (CVE-2014-1518, CVE-2014-1519)

Versions of Mozilla Firefox earlier than 29.0 are unpatched against the following vulnerabilities :

 - Use-after-free vulnerabilities in nsHostResolver, imgLoader, and Text Track Manager (for HTML video), which can crash with a potentially exploitable condition (CVE-2014-1532, CVE-2014-1531, CVE-2014-1525)
 - A potentially exploitable out-of-bounds write in Cairo, a potentially exploitable out-of-bounds read issue with Web Audio, and a non-exploitable out-of-bounds read when decoding JPG images (CVE-2014-1528, CVE-2014-1522, CVE-2014-1523)
 - Improper wildcard matching of domains in the Network Security Services (NSS library), which has since been fixed by updating to version 3.16 (CVE-2014-1492)
 - Potential privilege escalation via Xray Wrappers bypass, which can occur if a user used the debugger to interact with a malicious page (CVE-2014-1526)
 - Privilege escalation for scripts when sites that have been granted notification permissions by a user can bypass security checks on source components for the Web Notification API (CVE-2014-1529)
 - Privilege escalation via the Mozilla Maintenance Service Installer, which writes to a globally writeable temporary directory during the update process (Windows only) (CVE-2014-1520)
 - A potentially exploitable buffer overflow when a script uses a non-XBL object as an XBL object (CVE-2014-1524)
 - A cross-site scripting vulnerability using browser navigations through history to load a website with the page's base URI pointing to a different site (CVE-2014-1530)
 - Various memory safety hazards (CVE-2014-1518, CVE-2014-1519)

Versions of SeaMonkey earlier than 2.26 are unpatched against the following vulnerabilities:

  - Use-after-free vulnerabilities in nsHostResolver, imgLoader, and Text Track Manager (for HTML video), which can crash with a potentially exploitable condition (CVE-2014-1532, CVE-2014-1531, CVE-2014-1525)

  - A potentially exploitable out-of-bounds write in Cairo, a potentially exploitable out-of-bounds read issue with Web Audio, and a non-exploitable out-of-bounds read when decoding JPG images (CVE-2014-1528, CVE-2014-1522, CVE-2014-1523)

  - Improper wildcard matching of domains in the Network Security Services (NSS library), which has since been fixed by updating to version 3.16 (CVE-2014-1492)

  - Potential privilege escalation via Xray Wrappers bypass, which can occur if a user used the debugger to interact with a malicious page (CVE-2014-1526)

  - Privilege escalation for scripts when sites that have been granted notification permissions by a user can bypass security checks on source components for the Web Notification API (CVE-2014-1529)

  - A potentially exploitable buffer overflow when a script uses a non-XBL object as an XBL object (CVE-2014-1524)

  - A cross-site scripting vulnerability using browser navigations through history to load a website with the page's base URI pointing to a different site (CVE-2014-1530)

  - Various memory safety hazards (CVE-2014-1518, CVE-2014-1519)

Versions of Mozilla Thunderbird prior to 24.5 are unpatched against the following vulnerabilities :

 - Use-after-free vulnerabilities in nsHostResolver and imgLoader, which can crash with a potentially exploitable condition (CVE-2014-1532, CVE-2014-1531)
 - A non-exploitable out-of-bounds read when decoding JPG images (CVE-2014-1523)
 - Privilege escalation for scripts when sites that have been granted notification permissions by a user can bypass security checks on source components for the Web Notification API (CVE-2014-1529)
 - A potentially exploitable buffer overflow when a script uses a non-XBL object as an XBL object (CVE-2014-1524)
 - A cross-site scripting vulnerability using browser navigations through history to load a website with the page's base URI pointing to a different site (CVE-2014-1530)
 - Various memory safety hazards (CVE-2014-1518, CVE-2014-1519)

ID	名稱	產品	系列	已發布	已更新	嚴重性
75352	openSUSE 安全性更新：seamonkey (openSUSE-SU-2014:0629-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	critical
82632	GLSA-201504-01：Mozilla 產品：多個弱點	Nessus	Gentoo Local Security Checks	2015/4/8	2021/1/11	critical
73768	Firefox ESR 24.x < 24.5 多种漏洞	Nessus	Windows	2014/4/29	2019/11/26	critical
73771	SeaMonkey < 2.26 多种漏洞	Nessus	Windows	2014/4/29	2019/11/26	critical
73848	Fedora 19：firefox-29.0-5.fc19 / thunderbird-24.5.0-1.fc19 / xulrunner-29.0-1.fc19 (2014-5829)	Nessus	Fedora Local Security Checks	2014/5/3	2021/1/11	critical
73786	Ubuntu 14.04 LTS：Firefox 漏洞 (USN-2185-1)	Nessus	Ubuntu Local Security Checks	2014/4/30	2024/8/27	critical
701244	Mozilla Firefox ESR < 24.5 Multiple Vulnerabilities	Nessus Network Monitor	Web Clients	2019/11/6	2019/11/6	high
8213	Mozilla Firefox < 29.0 Multiple Vulnerabilities	Nessus Network Monitor	Web Clients	2014/5/5	2019/11/6	high
8214	SeaMonkey < 2.26 Multiple Vulnerabilities	Nessus Network Monitor	Web Clients	2014/5/5	2019/3/6	high
8215	Mozilla Thunderbird < 24.5 Multiple Vulnerabilities	Nessus Network Monitor	SMTP Clients	2014/5/5	2019/3/6	high

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

high

high

high

high