來自 Red Hat 安全性公告 2008:1036：

現已提供適用於 Red Hat Enterprise Linux 4 與 5 的更新版 firefox 套件，可修正各種安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重大安全性影響。

Mozilla Firefox 是開放原始碼的網頁瀏覽器。

處理格式有誤之網頁內容時發現多個瑕疵。包含惡意內容的網頁可導致 Firefox 當機，或可能以執行 Firefox 的使用者身分執行任意程式碼。
(CVE-2008-5500、CVE-2008-5501、CVE-2008-5502、CVE-2008-5511、CVE-2008-5512、CVE-2008-5513)

在處理格式有誤之內容的方式中發現一些瑕疵。包含特製內容的網站可能會誘騙 Firefox 使用者洩漏敏感資訊。(CVE-2008-5506、CVE-2008-5507)

在 Firefox 將屬性儲存在 XML 使用者介面語言 (XUL) 元素中的方式中發現一個瑕疵。網站可利用此瑕疵跨瀏覽器工作階段追蹤使用者，即使使用者不允許網站在受害者的瀏覽器中儲存 cookie 也是如此。(CVE-2008-5505)

在 Firefox 處理格式有誤之 URL 的方式中發現一個瑕疵。
此瑕疵可使各種 URL 清理機制無法正確剖析惡意 URL。(CVE-2008-5508)

在 Firefox 的 CSS 剖析器中發現一個瑕疵。惡意網頁可將 NULL 字元插入到 CSS 輸入字串中，可能繞過應用程式的指令碼清理常式。(CVE-2008-5510)

有關這些瑕疵的詳細技術資訊，請參閱 Firefox 3.0.5 的 Mozilla 安全性公告。您可在<參照>一節中找到 Mozilla 公告的連結。

注意：在安裝錯字勘誤表套件之後，必須重新啟動 Firefox，更新才能生效。

所有 firefox 使用者皆應升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式。

處理格式有誤之網頁內容時發現多個瑕疵。包含惡意內容的網頁可導致 Firefox 當機，或可能以執行 Firefox 的使用者身分執行任意程式碼。
(CVE-2008-5500、CVE-2008-5501、CVE-2008-5502、CVE-2008-5511、CVE-2008-5512、CVE-2008-5513)

在處理格式有誤之內容的方式中發現一些瑕疵。包含特製內容的網站可能會誘騙 Firefox 使用者洩漏敏感資訊。(CVE-2008-5506、CVE-2008-5507)

在 Firefox 將屬性儲存在 XML 使用者介面語言 (XUL) 元素中的方式中發現一個瑕疵。網站可利用此瑕疵跨瀏覽器工作階段追蹤使用者，即使使用者不允許網站在受害者的瀏覽器中儲存 cookie 也是如此。(CVE-2008-5505)

在 Firefox 處理格式有誤之 URL 的方式中發現一個瑕疵。
此瑕疵可使各種 URL 清理機制無法正確剖析惡意 URL。(CVE-2008-5508)

在 Firefox 的 CSS 剖析器中發現一個瑕疵。惡意網頁可將 NULL 字元插入到 CSS 輸入字串中，可能繞過應用程式的指令碼清理常式。(CVE-2008-5510)

有關這些瑕疵的詳細技術資訊，請參閱 Firefox 3.0.5 的 Mozilla 安全性公告。您可在<參照>一節中找到 Mozilla 公告的連結。

注意：在安裝錯字勘誤表套件之後，必須重新啟動 Firefox，更新才能生效。

在瀏覽器引擎中發現數個瑕疵。這些問題可允許攻擊者損毀瀏覽器，且可能以使用者權限執行任意程式碼。(CVE-2008-5500)

Boris Zbarsky 發現，可利用 XBL 繫結來繞過 Firefox 中的同源檢查。攻擊者可惡意利用此弱點從其他網域讀取資料。(CVE-2008-5503)

Marius Schilder 發現，使 XMLHttpRequest 使用同源資源時，Firefox 未正確處理重新導向至外部網域的問題。敏感資訊有可能在 XMLHttpRequest 回應中洩漏。(CVE-2008-5506)

Chris Evans 發現，存取相同網域 JavaScript URL (重新導向至無法剖析的 JavaScript 異地資源) 時，Firefox 未正確保護使用者的資料。如果使用者遭誘騙而開啟惡意網站，攻擊者就有可能竊取數量有限的私人資料。(CVE-2008-5507)

在 JavaScript 引擎中發現數個瑕疵。如果使用者遭誘騙而開啟惡意網站，攻擊者就可惡意利用此弱點，在其他網站的內容中或以 Chrome 權限執行任意 JavaScript 程式碼。(CVE-2008-5511、CVE-2008-5512)。

遠端主機受到 GLSA-201301-01 中所述的弱點影響 (Mozilla 產品：多個弱點)

在 Mozilla Firefox、Thunderbird、SeaMonkey、NSS、GNU IceCat 與 XULRunner 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。
 影響：

遠端攻擊者可引誘使用者檢視特製的網頁或電子郵件，進而可能導致執行任意程式碼或拒絕服務情況。此外，遠端攻擊者或許能夠執行攔截式攻擊、取得敏感資訊、繞過限制及保護機制、強制檔案下載、發動 XML 插入攻擊、發動 XSS 攻擊、繞過同源原則、偽造 URL 以發動網路釣魚攻擊、觸發垂直捲動、偽造位置列、偽造 SSL 指示器、修改瀏覽器的字型、發動點擊劫持攻擊，或造成其他不明的影響。
 本機攻擊者可取得提升的權限、取得敏感資訊，或取代任意下載檔案。
 因應措施：

目前尚無已知的因應措施。

ID	名稱	產品	系列	已發布	已更新	嚴重性
67777	Oracle Linux 4 / 5 : firefox (ELSA-2008-1036)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	critical
60506	Scientific Linux 安全性更新：SL4.x、SL5.x i386/x86_64 上的 firefox	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	critical
65111	Ubuntu 6.06 LTS：firefox 弱點 (USN-690-3)	Nessus	Ubuntu Local Security Checks	2013/3/9	2021/1/19	critical
63402	GLSA-201301-01：Mozilla 產品：多個弱點 (BEAST)	Nessus	Gentoo Local Security Checks	2013/1/8	2022/12/5	critical

偵測

搜尋 Plugin

critical

critical

critical

critical