The Mozilla Project reports :

MFSA-2015-30 Miscellaneous memory safety hazards (rv:37.0 / rv:31.6)

MFSA-2015-31 Use-after-free when using the Fluendo MP3 GStreamer plugin

MFSA-2015-32 Add-on lightweight theme installation approval bypassed through MITM attack

MFSA-2015-33 resource:// documents can load privileged pages

MFSA-2015-34 Out of bounds read in QCMS library

MFSA-2015-35 Cursor clickjacking with flash and images

MFSA-2015-36 Incorrect memory management for simple-type arrays in WebRTC

MFSA-2015-37 CORS requests should not follow 30x redirections after preflight

MFSA-2015-38 Memory corruption crashes in Off Main Thread Compositing

MFSA-2015-39 Use-after-free due to type confusion flaws

MFSA-2015-40 Same-origin bypass through anchor navigation

MFSA-2015-41 PRNG weakness allows for DNS poisoning on Android

MFSA-2015-42 Windows can retain access to privileged content on navigation to unprivileged pages

The remote host is affected by the vulnerability described in GLSA-201512-10 (Mozilla Products: Multiple vulnerabilities)

    Multiple vulnerabilities have been discovered in Mozilla Firefox and       Mozilla Thunderbird. Please review the CVE identifiers referenced below       for details.
  Impact :

    A remote attacker could entice a user to view a specially crafted web       page or email, possibly resulting in execution of arbitrary code or a       Denial of Service condition.
  Workaround :

    There is no known workaround at this time.

リモート Mac OS X ホストにインストールされている Firefox のバージョンは、 37.0 より前のバージョンです。したがって、次の脆弱性の影響を受けます：

- アンカーナビゲーションに関連する権限昇格の脆弱性が存在しています。リモートの攻撃者が、これを悪用して、同一生成元ポリシー保護をバイパスし、権限のあるコンテキストで任意のスクリプトを実行する可能性があります。これは、Firefox 36.0.4 で修正されている CVE-2015-0818 の変種ですので注意してください。
 (CVE-2015-0801)

- 権限のある UI コンテンツを含むために作成されたウインドウから権限のないページに移動するとき、特定の権限のある内部メソッドへのアクセスが保持されます。攻撃者が、これを悪用して、昇格した権限で任意の JavaScript を実行する可能性があります。(CVE-2015-0802)

- use-after-free エラーに引き起こす可能性がある複数の型の取り違え（Type Confusion）の問題が存在し、リモートの攻撃者が、これを悪用して、任意のコードを実行したり、サービス拒否を引き起こしたりする可能性があります。（CVE-2015-0803、 CVE-2015-0804）

- 2D グラフィックスをレンダリングするときの Off Main Thread Compositing に関連する複数のメモリ破損の問題が存在し、リモートの攻撃者が、これを悪用して、任意のコードを実行したり、サービス拒否を引き起こしたりする可能性があります。（CVE-2015-0805、 CVE-2015-0806）

- 30x のリダイレクションに続くクロスオリジンリソースシェアリング（CORS）リクエストがあるため、クロスサイトリクエスト偽造（XSRF）の脆弱性が sendBeacon() 関数に存在します。(CVE-2015-0807)

- 単純スタイル配列のためのメモリ管理に関連して WebRTC に問題が存在し、リモートの攻撃者が、これを利用してサービス拒否を引き起こす可能性があります。(CVE-2015-0808)

- リモートの攻撃者がユーザーのカーソルを非表示にし、クリックジャッキング攻撃を成功させる可能性がある問題が存在します。(CVE-2015-0810)

- QCMS 色管理ライブラリに領域外読み取りの問題が存在し、情報漏洩が引き起こされる可能性があります。(CVE-2015-0811)

- 中間者攻撃を引き起こす可能性のある問題が存在し、Mozilla サブドメインになりすますことで、攻撃者が、ユーザー確認をバイパスして、Firefox 軽量テーマをインストールする可能性があります。(CVE-2015-0812)

- ブラウザのエンジン内に、複数のメモリ安全性の問題が存在します。リモートの攻撃者が、これらを悪用し、メモリを破損させたり、任意のコードを実行したりする可能性があります。
 （CVE-2015-0814、 CVE-2015-0815）

- 「resource:」URL を通してロードされたドキュメントに関連する権限昇格の脆弱性が存在します。リモートの攻撃者が、これを悪用して、ページを読み込んで昇格した権限で任意の JavaScript を実行する可能性があります。(CVE-2015-0816)

The version of Firefox installed on the remote Mac OS X host is prior to 37.0. It is, therefore, affected by the following vulnerabilities :

  - A privilege escalation vulnerability exists which     relates to anchor navigation. A remote attacker can     exploit this to bypass same-origin policy protections,     allowing a possible execution of arbitrary scripts in a     privileged context. Note that this is a variant of     CVE-2015-0818 that was fixed in Firefox 36.0.4.
    (CVE-2015-0801)

  - Access to certain privileged internal methods is     retained when navigating from windows created to contain     privileged UI content to unprivileged pages. An attacker     can exploit this to execute arbitrary JavaScript with     elevated privileges. (CVE-2015-0802)

  - Multiple type confusion issues exist that can lead to     use-after-free errors, which a remote attacker can     exploit to execute arbitrary code or cause a denial of     service. (CVE-2015-0803, CVE-2015-0804)

  - Multiple memory corruption issues exist related to Off     Main Thread Compositing when rendering 2D graphics,     which a remote attacker can exploit to execute arbitrary     code or cause a denial of service. (CVE-2015-0805,     CVE-2015-0806)

  - A cross-site request forgery (XSRF) vulnerability exists     in the sendBeacon() function due to cross-origin     resource sharing (CORS) requests following 30x     redirections. (CVE-2015-0807)

  - An issue exists in WebRTC related to memory management     for simple-style arrays, which may be used by a remote     attacker to cause a denial of service. (CVE-2015-0808)

  - An issue exists that allows a remote attacker to make     the user's cursor invisible, possibly resulting in a     successful clickjacking attack. (CVE-2015-0810)

  - An out-of-bounds read issue exists in the QCMS color     management library that could lead to an information     disclosure. (CVE-2015-0811)

  - An issue exists that can allow a man-in-the-middle     attacker to bypass user-confirmation and install a     Firefox lightweight theme by spoofing a Mozilla     sub-domain. (CVE-2015-0812)

  - Multiple memory safety issues exist within the browser     engine. A remote attacker can exploit these to corrupt     memory and possibly execute arbitrary code.
    (CVE-2015-0814, CVE-2015-0815)

  - A privilege escalation vulnerability exists related to     documents loaded through a 'resource:' URL. An attacker     can exploit this to load pages and execute JavaScript     with elevated privileges. (CVE-2015-0816)

Mozilla 项目报告：

MFSA-2015-30 各种内存安全危害 (rv:37.0 / rv:31.6)

MFSA-2015-31 使用 Fluendo MP3 GStreamer 插件时的释放后使用

MFSA-2015-32 通过 MITM 攻击绕过附加组件轻量级主题安装批准

MFSA-2015-33 resource:// 文档可加载具有权限的页面

MFSA-2015-34 QCMS 库中的越界读取

MFSA-2015-35 使用 flash 和图像时的光标点击劫持

MFSA-2015-36 WebRTC 中简单类型数组的内存管理不正确

MFSA-2015-37 CORS 请求在预检后不应遵循 30x 重定向

MFSA-2015-38 非主线程复合中的内存损坏崩溃

MFSA-2015-39 由于类型混淆缺陷导致的释放后使用

MFSA-2015-40 定位标记导航中的同源绕过

MFSA-2015-41 Android 中的 PRNG 漏洞允许 DNS 毒化

MFSA-2015-42 Windows 在导航到非特权页面时可以保留对特权内容的访问权限

远程 Mac OS X 主机上安装的 Firefox 版本低于 37.0。因此，它受到以下漏洞的影响：

- 存在与定位标记导航相关的权限升级漏洞。远程攻击者可利用此漏洞绕过同源策略保护，从而允许在特权上下文中执行任意脚本。请注意，这是 CVE-2015-0818 的变体，已在 Firefox 36.0.4 中得到修复。
 (CVE-2015-0801)

- 当从创建用于包含特权 UI 内容的窗口导航至非特权页面时，保留对特定特权内部方法的访问权限。攻击者可利用此漏洞以升级的权限执行任意 JavaScript。(CVE-2015-0802)

- 存在多个类型混淆问题，可导致释放后使用错误，远程攻击者可利用这些问题执行任意代码或造成拒绝服务。（CVE-2015-0803、CVE-2015-0804）

- 在渲染 2D 图形时，存在与非主线程复合相关的多个内存损坏问题，远程攻击者可利用这些问题执行任意代码或造成拒绝服务。（CVE-2015-0805、CVE-2015-0806）

- 由于 30x 重定向随附的跨源资源共享 (CORS) 请求，sendBeacon() 函数中存在跨站请求伪造 (XSRF) 漏洞。(CVE-2015-0807)

- WebRTC 中存在与简单样式数组的内存管理相关的问题，远程攻击者可利用此问题造成拒绝服务。(CVE-2015-0808)

- 存在允许远程攻击者使用户的光标不可见的问题，可能导致成功的点击劫持攻击。(CVE-2015-0810)

- QCMS 色彩管理库中存在越界读取问题，可导致信息泄露。(CVE-2015-0811)

- 存在可允许中间人攻击者通过欺骗 Mozilla 子域来绕过用户确认并安装 Firefox 轻量级主题的问题。(CVE-2015-0812)

- 浏览器引擎中存在多种内存安全问题。远程攻击者可利用这些问题损坏内存并执行任意代码。
 （CVE-2015-0814、CVE-2015-0815）

- 存在与通过“resource:”URL 加载文档相关的权限升级漏洞。攻击者可利用此漏洞加载页面并以升级的权限执行 JavaScript。(CVE-2015-0816)

Mozilla Project 報告：

MFSA-2015-30 其他記憶體安全危險 (rv:37.0 / rv:31.6)

MFSA-2015-31 使用 Fluendo MP3 GStreamer 外掛程式時會發生釋放後使用

MFSA-2015-32 透過 MITM 攻擊繞過附加元件輕量型主題的安裝核准

MFSA-2015-33 resource:// 文件可載入具有權限的頁面

MFSA-2015-34 QCMS 程式庫中的超出邊界讀取

MFSA-2015-35 Flash 和影像的游標點擊劫持

MFSA-2015-36 WebRTC 中簡單類型陣列的記憶體管理不正確

MFSA-2015-37 CORS 要求不應在預檢後遵循 30x 重新導向

MFSA-2015-38 記憶體損毀在關閉主執行緒複合功能中損毀

MFSA-2015-39 類型混淆瑕疵造成的釋放後使用

MFSA-2015-40 透過錨點導覽引發的相同來源繞過

MFSA-2015-41 PRNG 弱點允許在 Android 上發動 DNS 毒害攻擊

MFSA-2015-42 Windows 可以在導覽無權限的頁面時，保留對有權限之內容的存取權

遠端 Mac OS X 主機上安裝的 Firefox 版本比 37.0 版舊。因此受到以下弱點影響：

- 存在一個與錨點導覽相關的權限提升弱點。遠端攻擊者可加以惡意利用，藉此繞過同源原則保護，從而可能在有權限的內容中執行任意指令碼。請注意，這是 CVE-2015-0818 的變體，且已在 Firefox 36.0.4 中修正。
 (CVE-2015-0801)

- 在從包含有權限的 UI 內容視窗導覽至無權限頁面時，會保留需要權限之特定內部方法的存取權。攻擊者可能加以惡意利用，以提升的權限執行任意 JavaScript。(CVE-2015-0802)

- 存在多個類型混淆問題，這可導致釋放後使用錯誤，讓遠端攻擊者加以惡意利用，執行任意程式碼或造成拒絕服務。(CVE-2015-0803、CVE-2015-0804)

- 轉譯 2D 圖形時存在多個與 Off Main Thread Compositing 相關的記憶體損毀問題，這會讓遠端攻擊者得以惡意利用，執行任意程式碼或造成拒絕服務。(CVE-2015-0805、CVE-2015-0806)

- sendBeacon() 函式中存在一個跨網站要求偽造 (XSRF) 弱點，這是因為依循 30x 重新導向的跨來源資源共用 (CORS) 要求所致。(CVE-2015-0807)

- WebRTC 中存在一個與簡易樣式陣列記憶體管理相關的問題，遠端攻擊者可能會藉此造成拒絕服務。(CVE-2015-0808)

- 存在一個問題，其允許遠端攻擊者隱藏使用者的游標，可能導致成功發動點擊劫持攻擊。(CVE-2015-0810)

- QCMS 色彩管理程式庫中存在一個超出邊界讀取問題，這可導致資訊洩漏。(CVE-2015-0811)

- 有個問題可讓攔截式攻擊者偽造 Mozilla 子網域，藉此繞過使用者確認並安裝 Firefox 輕量型主題。(CVE-2015-0812)

- 瀏覽器引擎中存在多個記憶體安全性問題。遠端攻擊者可能加以惡意利用，使記憶體損毀並可能執行任意程式碼。
 (CVE-2015-0814、CVE-2015-0815)

- 存在一個與透過「resource:」URL 載入之文件相關的權限提升弱點。攻擊者可能加以惡意利用，透過提升的權限載入頁面並執行 JavaScript。(CVE-2015-0816)

Mozilla プロジェクトによる報告：

MFSA-2015-30 様々なメモリ安全性の問題（rv:37.0 / rv:31.6）

MFSA-2015-31 Fluendo MP3 GStreamer プラグイン使用時の use-after-free

MFSA-2015-32 MITM 攻撃により、アドオン軽量テーマのインストール承認がバイパスされます

MFSA-2015-33 resource:// ドキュメントは権限の設定されたページをロードできます

MFSA-2015-34 QCMS ライブラリでの領域外読み取り

MFSA-2015-35 フラッシュや画像でのカーソルのクリックジャッキング

MFSA-2015-36 WebRTC での simple-type 配列に対する間違ったメモリ管理

MFSA-2015-37 preflight 後に CORS リクエストは 30x リダイレクトにしたがうべきではありません

MFSA-2015-38 Off Main Thread Compositing でのメモリ破損クラッシュ

MFSA-2015-39 型の取り違え（Type Confusion）の欠陥による use-after-free

MFSA-2015-40 同一生成元はアンカーナビゲーションをバイパスします

MFSA-2015-41 PRNG の弱点により Android で DNS ポイゾニングが可能

MFSA-2015-42 Windows では、権限のないページへのナビゲーションで、権限のあるコンテキストにアクセスし続けることができます

遠端主機受到 GLSA-201512-10 中所述的弱點影響 (Mozilla 產品：多個弱點)

在 Mozilla Firefox 和 Mozilla Thunderbird 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。
 影響：

遠端攻擊者可引誘使用者檢視特製的網頁或電子郵件，進而可能導致執行任意程式碼或拒絕服務情況。
 因應措施：

目前尚無已知的因應措施。

远程主机受到 GLSA-201512-10 中所述漏洞的影响（Mozilla 产品：多种漏洞）

在 Mozilla Firefox 和 Mozilla Thunderbird 中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

远程攻击者可引诱用户查看特别构建的网页或电子邮件，这可能导致执行任意代码或拒绝服务的情况。
 变通方案：

目前无任何已知的变通方案。

リモートホストは、GLSA-201512-10 で説明されている脆弱性の影響を受けます（Mozilla 製品：複数の脆弱性）

複数の脆弱性が、Mozilla Firefox および Mozilla Thunderbird で発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

リモートの攻撃者が、ユーザーを誘導し、特別に細工された Web ページやメールを表示させることができた場合、任意のコードを実行したり、サービス拒否状態を発生させたりする可能性があります。
 回避策：

現時点で、既知の回避策はありません。

Versions of Mozilla Firefox earlier than 37.0 are unpatched for the following vulnerabilities : 

 - A privilege escalation vulnerability exists which relates to anchor navigation. A remote attacker can exploit this to bypass same-origin policy protections, allowing a possible execution of arbitrary scripts in a privileged context. Note that this is a variant of CVE-2015-0818 that was fixed in Firefox 36.0.4. (CVE-2015-0801)
 - Access to certain privileged internal methods is retained when navigating from windows created to contain privileged UI content to unprivileged pages. An attacker can exploit this to execute arbitrary JavaScript with elevated privileges. (CVE-2015-0802)
 - Multiple type confusion issues exist that can lead to use-after-free errors, which a remote attacker can exploit to execute arbitrary code or cause a denial of service. (CVE-2015-0803, CVE-2015-0804)
 - Multiple memory corruption issues exist related to off-main-thread compositing when rendering 2D graphics, which a remote attacker can exploit to execute arbitrary code or cause a denial of service. (CVE-2015-0805, CVE-2015-0806)
 - A cross-site request forgery (XSRF) vulnerability exists in the sendBeacon() function due to cross-origin resource sharing (CORS) requests following 30x redirections. (CVE-2015-0807)
 - An issue exists in WebRTC related to memory management for simple-style arrays, which may be used by a remote attacker to cause a denial of service. (CVE-2015-0808)
 - An issue exists that allows a remote attacker to make the user's cursor invisible, possibly resulting in a successful clickjacking attack. Only OS X installations of Firefox are affected. (CVE-2015-0810)
 - An out-of-bounds read issue exists in the QCMS color management library that could lead to an information disclosure. (CVE-2015-0811)
 - An issue exists that can allow a man-in-the-middle attacker to bypass user-confirmation and install a Firefox lightweight theme by spoofing a Mozilla sub-domain. (CVE-2015-0812)
 - A use-after-free vulnerability affects the AppendElements() function when the Fluendo MP3 plugin for GStreamer is used. A remote attacker could exploit this to execute arbitrary code or cause a denial of service (heap memory corruption) via a specially crafted MP3 file. (CVE-2015-0813)
 - Multiple memory safety issues exist within the browser engine. A remote attacker can exploit these to corrupt memory and possibly execute arbitrary code. (CVE-2015-0814, CVE-2015-0815)
 - A privilege escalation vulnerability exists related to documents loaded through a 'resource:' URL. An attacker can exploit this to load pages and execute JavaScript with elevated privileges. (CVE-2015-0816)

Versions of Mozilla Firefox ESR prior to 31.6 are unpatched for the following vulnerabilities : 

 - A privilege escalation vulnerability exists which relates to anchor navigation. A remote attacker can exploit this to bypass same-origin policy protections, allowing a possible execution of arbitrary scripts in a privileged context. Note that this is a variant of CVE-2015-0818 that was fixed in Firefox 36.0.4. (CVE-2015-0801)
 - Access to certain privileged internal methods is retained when navigating from windows created to contain privileged UI content to unprivileged pages. An attacker can exploit this to execute arbitrary JavaScript with elevated privileges. (CVE-2015-0802)
 - Multiple type confusion issues exist that can lead to use-after-free errors, which a remote attacker can exploit to execute arbitrary code or cause a denial of service. (CVE-2015-0803, CVE-2015-0804)
 - Multiple memory corruption issues exist related to off-main-thread compositing when rendering 2D graphics, which a remote attacker can exploit to execute arbitrary code or cause a denial of service. (CVE-2015-0805, CVE-2015-0806)
 - A cross-site request forgery (XSRF) vulnerability exists in the sendBeacon() function due to cross-origin resource sharing (CORS) requests following 30x redirections. (CVE-2015-0807)
 - An issue exists in WebRTC related to memory management for simple-style arrays, which may be used by a remote attacker to cause a denial of service. (CVE-2015-0808)
 - An issue exists that allows a remote attacker to make the user's cursor invisible, possibly resulting in a successful clickjacking attack. Only OS X installations of Firefox are affected. (CVE-2015-0810)
 - An out-of-bounds read issue exists in the QCMS color management library that could lead to an information disclosure. (CVE-2015-0811)
 - An issue exists that can allow a man-in-the-middle attacker to bypass user-confirmation and install a Firefox lightweight theme by spoofing a Mozilla sub-domain. (CVE-2015-0812)
 - A use-after-free vulnerability affects the AppendElements() function when the Fluendo MP3 plugin for GStreamer is used. A remote attacker could exploit this to execute arbitrary code or cause a denial of service (heap memory corruption) via a specially crafted MP3 file. (CVE-2015-0813)
 - Multiple memory safety issues exist within the browser engine. A remote attacker can exploit these to corrupt memory and possibly execute arbitrary code. (CVE-2015-0814, CVE-2015-0815)
 - A privilege escalation vulnerability exists related to documents loaded through a 'resource:' URL. An attacker can exploit this to load pages and execute JavaScript with elevated privileges. (CVE-2015-0816)

ID	名稱	產品	系列	已發布	已更新	嚴重性
82482	FreeBSD : mozilla -- multiple vulnerabilities (d0c97697-df2c-4b8b-bff2-cec24dc35af8)	Nessus	FreeBSD Local Security Checks	2015/4/1	2021/1/6	high
87710	GLSA-201512-10 : Mozilla Products: Multiple vulnerabilities (Bar Mitzvah) (Logjam)	Nessus	Gentoo Local Security Checks	2016/1/4	2022/12/5	critical
82500	Firefox < 37.0 の複数の脆弱性（Mac OS X）	Nessus	MacOS X Local Security Checks	2015/4/1	2018/7/14	high
82500	Firefox < 37.0 Multiple Vulnerabilities (Mac OS X)	Nessus	MacOS X Local Security Checks	2015/4/1	2018/7/14	high
82482	FreeBSD：mozilla -- 多种漏洞 (d0c97697-df2c-4b8b-bff2-cec24dc35af8)	Nessus	FreeBSD Local Security Checks	2015/4/1	2021/1/6	high
82500	Firefox < 37.0 多种漏洞 (Mac OS X)	Nessus	MacOS X Local Security Checks	2015/4/1	2018/7/14	high
82482	FreeBSD：mozilla -- 多個弱點 (d0c97697-df2c-4b8b-bff2-cec24dc35af8)	Nessus	FreeBSD Local Security Checks	2015/4/1	2021/1/6	high
82500	Firefox < 37.0 多個弱點 (Mac OS X)	Nessus	MacOS X Local Security Checks	2015/4/1	2018/7/14	high
82482	FreeBSD：mozilla -- 複数の脆弱性（d0c97697-df2c-4b8b-bff2-cec24dc35af8）	Nessus	FreeBSD Local Security Checks	2015/4/1	2021/1/6	high
87710	GLSA-201512-10：Mozilla 產品：多個弱點 (Bar Mitzvah) (Logjam)	Nessus	Gentoo Local Security Checks	2016/1/4	2022/12/5	critical
87710	GLSA-201512-10：Mozilla 产品：多种漏洞 (Bar Mitzvah) (Logjam)	Nessus	Gentoo Local Security Checks	2016/1/4	2022/12/5	critical
87710	GLSA-201512-10：Mozilla 製品：複数の脆弱性（Bar Mitzvah 氏）（Logjam）	Nessus	Gentoo Local Security Checks	2016/1/4	2022/12/5	critical
8742	Mozilla Firefox < 37.0 Multiple Vulnerabilities	Nessus Network Monitor	Web Clients	2015/4/29	2019/11/6	high
701254	Mozilla Firefox ESR < 31.6 Multiple Vulnerabilities	Nessus Network Monitor	Web Clients	2019/11/6	2019/11/6	high

偵測

搜尋 Plugin

high

critical

high

high

high

high

high

high

high

critical

critical

critical

high

high