此更新將 Mozilla XULRunner 引擎升級至 1.9.0.14 穩定版本。

此更新亦會修正各種安全性問題：

- / CVE-2009-30 /(MFSA 2009-47 / CVE-2009-3069 / CVE-2009-3070 / CVE-2009-3071 / CVE-2009-3072 / CVE-2009-3073)

- Mozilla 開發人員和社群成員已在 Firefox 和其他 Mozilla 相關產品所使用的瀏覽器引擎中發現並修正數個穩定性錯誤。某些當機情況證明記憶體在特定情況下會遭到損毀，而我們認為有心人士至少可惡意利用其中某些情況以執行任意程式碼。(CVE-2009-3075)

- Mozilla 的安全性研究人員 Jesse Ruderman 報告，透過 pkcs11.addmodule 或 pkcs11.deletemodule 新增或移除安全性模組時，所產生的對話方塊資訊不足。在無充分警告的情況下，攻擊者可引誘受害者安裝惡意 PKCS11 模組，並影響受害者瀏覽器的加密完整性。
 安全性研究人員 Dan Kaminsky 報告，尚未修正 Firefox 3.0 的這個問題，並且在特定情況下，可從遠端位置安裝 pkcs11 模組。Firefox 3.5 版本未受影響。(MFSA 2009-48 / CVE-2009-3076)

- 一位匿名的安全性研究人員透過 TippingPoint 的零時差計劃報告，XUL 樹狀結構元素的欄位可遭人以特定方式操控，而使欄位所擁有的指標指向已釋放的記憶體。攻擊者可能會利用此弱點造成受害者的瀏覽器當機，並且在受害者的電腦上執行任意程式碼。(MFSA 2009-49 / CVE-2009-3077)

- 安全性研究人員 Juan Pablo Lopez Yacubian 報告，用於轉譯位置列和其他文字欄位的預設 Windows 字型，不適當地以大行高顯示特定 Unicode 字元。在這種情況下，大行高會導致輸入欄位中的其餘文字因垂直捲動而超出視野範圍。攻擊者可利用此弱點防止使用者看見惡意網站的 URL。Corrie Sloot 亦單獨向 Mozilla 報告此問題。(MFSA 2009-50 / CVE-2009-3078)

- Mozilla 的安全性研究人員 moz_bug_r_a4 報告，可利用提升後的權限透過 BrowserFeedWriter 執行網頁內容的 JavaScript 程式碼。攻擊者可利用此弱點建構內含惡意 JavaScript 的物件，並導致 FeedWriter 處理該物件 (以 Chrome 權限執行惡意程式碼)。Thunderbird 不支援 BrowserFeedWriter 物件，並且在其預設組態中不易遭受攻擊。如果使用者已安裝任何附加元件 (提供類似實作功能，並啟用郵件訊息中的 JavaScript)，則 Thunderbird 可能會容易遭受攻擊。這並非預設設定，且我們不建議使用者執行郵件的 JavaScript。(MFSA 2009-51 / CVE-2009-3079)

遠端主機受到 GLSA-201301-01 中所述的弱點影響 (Mozilla 產品：多個弱點)

在 Mozilla Firefox、Thunderbird、SeaMonkey、NSS、GNU IceCat 與 XULRunner 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。
 影響：

遠端攻擊者可引誘使用者檢視特製的網頁或電子郵件，進而可能導致執行任意程式碼或拒絕服務情況。此外，遠端攻擊者或許能夠執行攔截式攻擊、取得敏感資訊、繞過限制及保護機制、強制檔案下載、發動 XML 插入攻擊、發動 XSS 攻擊、繞過同源原則、偽造 URL 以發動網路釣魚攻擊、觸發垂直捲動、偽造位置列、偽造 SSL 指示器、修改瀏覽器的字型、發動點擊劫持攻擊，或造成其他不明的影響。
 本機攻擊者可取得提升的權限、取得敏感資訊，或取代任意下載檔案。
 因應措施：

目前尚無已知的因應措施。

ID	名稱	產品	系列	已發布	已更新	嚴重性
52687	SuSE 11 安全性更新：Mozilla (SAT 修補程式編號 1328)	Nessus	SuSE Local Security Checks	2011/3/17	2021/1/14	critical
63402	GLSA-201301-01：Mozilla 產品：多個弱點 (BEAST)	Nessus	Gentoo Local Security Checks	2013/1/8	2022/12/5	critical

偵測

搜尋 Plugin

critical

critical