透過將套件更新為較新版本，此更新可修正下列安全性相關問題：

NSPR 更新至 4.11；NSS 更新至 3.21；Firefox 更新至 44.0

- MFSA 2016-01/CVE-2016-1930/CVE-2016-1931 其他記憶體安全危險

- MFSA 2016-02/CVE-2016-1933 (bmo#1231761) 剖析 GIF 格式影像時發生記憶體不足損毀

- MFSA 2016-03/CVE-2016-1935 (bmo#1220450) 記憶體不足配置後在 WebGL 中發生緩衝區溢位

- MFSA 2016-04/CVE-2015-7208/CVE-2016-1939 (bmo#1191423、bmo#1233784) Firefox 允許在 Cookie 名稱中設定控制字元

- MFSA 2016-06/CVE-2016-1937 (bmo#724353) 在通訊協定處置程式對話方塊中的使用者按一下事件後遺漏延遲

- MFSA 2016-07/CVE-2016-1938 (bmo#1190248) NSS 中的 mp_div 和 mp_exptmod 密碼編譯函式中有錯誤 (取得 NSS 3.21 即可修正)

- MFSA 2016-09/CVE-2016-1942/CVE-2016-1943 (bmo#1189082、bmo#1228590) 位址列偽造攻擊

- MFSA 2016-10/CVE-2016-1944/CVE-2016-1945/CVE-2016-1946 (bmo#1186621、bmo#1214782、bmo#1232096) 透過程式碼檢查發現不安全的記憶體操控

- MFSA 2016-11/CVE-2016-1947 (bmo#1237103) Firefox 43 中停用了 Application Reputation 服務

遠端 Windows 主機上安裝的 Firefox 版本比 44 版舊。因此受到以下弱點影響：

- 存在一個 Cookie 插入弱點，這是因為將不合法控制字元儲存為 Cookie 值，違反 RFC6265 所導致。遠端攻擊者可惡意利用此弱點插入 Cookie。(CVE-2015-7208)

- 存在多個會讓遠端攻擊者執行任意程式碼的不明記憶體損毀問題。
 (CVE-2016-1930、CVE-2016-1931)

- 存在一個整數溢位情形，這是因為在去交錯式過程中不當剖析 GIF 影像所導致。遠端攻擊者可加以惡意利用，透過特製的 GIF 影像，造成拒絕服務情形或是執行任意程式碼。(CVE-2016-1933)

- WebGL 中存在一個緩衝區溢位情形，其會在處理快取記憶體不足錯誤情形時觸發。遠端攻擊者可惡意利用這點，執行任意程式碼。(CVE-2016-1935)

- 存在一個內容偽造弱點，這是因為通訊協定處置程式對話方塊，將按兩下事件視為兩次的按一下事件所導致。遠端攻擊者可惡意利用此偽造內容，讓攻擊者能夠誘騙使用者執行惡意動作。(CVE-2016-1937)

- Network Security Services (NSS) 中存在一個密碼編譯弱點，這是因為「mp_div」及「mp_exptmod」的錯誤計算所導致。(CVE-2016-1938)

- 存在一個 Cookie 插入弱點，這是因為在 Cookie 名稱中允許使用不合法控制字元所導致。遠端攻擊者可惡意利用此弱點插入 Cookie。
 (CVE-2016-1939)

- 存在一個 URL 偽造弱點，這是因為一個對內部通訊協定而言無效的 URL，在處理過程中觸發一個瑕疵，造成將 URL 貼到位址列中所導致。遠端攻擊者可惡意利用此偽造 URL，讓攻擊者能夠誘騙使用者造訪惡意網站。(CVE-2016-1942)

- ANGLE 圖庫實作中存在一個不明的記憶體損毀問題。遠端攻擊者可惡意利用此問題損毀記憶體，進而導致任意程式碼執行。(CVE-2016-1944)

- 存在一個環境指標瑕疵，這是因為不當處理 ZIP 檔案所導致。遠端攻擊者可惡意利用此瑕疵，透過特製 ZIP 檔案造成不明影響。
 (CVE-2016-1945)

- 隨附的 libstagefright 版本中存在一個整數溢位情形，這是因為不當處理 MP4 檔案詮釋資料所導致。遠端攻擊者可惡意利用這點，執行任意程式碼。(CVE-2016-1946)

- 安全瀏覽功能中存在一個瑕疵，這是因為無法連線至 Application Reputation 服務所導致。遠端攻擊者可以惡意利用此瑕疵，說服使用者在未受警告的情況下下載惡意執行檔。(CVE-2016-1947)

- Network Security Services (NSS) 中存在一個釋放後使用錯誤，這是因為 DHE 和 ECDHE 交握期間不當處理失敗的配置所導致。攻擊者可加以利用，解除參照已釋放的記憶體，進而導致執行任意程式碼。
 (CVE-2016-1978)

Mozilla Foundation 報告：

MFSA 2016-01 其他記憶體安全性危險 (rv:44.0 / rv:38.6)

MFSA 2016-02 剖析 GIF 格式影像時發生記憶體不足損毀

MFSA 2016-03 在記憶體不足的配置後，WebGL 中發生緩衝區溢位

MFSA 2016-04 Firefox 允許在 cookie 名稱中設定控制字元

MFSA 2016-06 在通訊協定處置程式對話方塊中的使用者按一下事件後遺漏延遲

MFSA 2016-09 位址列偽造攻擊

MFSA 2016-10 在程式碼檢查過程中發現不安全的記憶體操控

MFSA 2016-11 Firefox 43 中停用了 Application Reputation 服務

遠端主機受到 GLSA-201605-06 中所述的弱點影響 (Mozilla 產品：多個弱點)

在 Firefox、NSS、NSPR 和 Thunderbird 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。
 影響：

遠端攻擊者可引誘使用者檢視特製的網頁或電子郵件，進而可能導致執行任意程式碼或拒絕服務情況。此外，遠端攻擊者還可能發動攔截式攻擊、取得敏感資訊、偽造位址列、發動點擊劫持攻擊、繞過安全性限制和保護機制，或造成其他不明影響。
 因應措施：

目前尚無已知的因應措施。

遠端 Mac OS X 主機上安裝的 Firefox 版本比 44 版舊。因此受到以下弱點影響：

- 存在一個 Cookie 插入弱點，這是因為將不合法控制字元儲存為 Cookie 值，違反 RFC6265 所導致。遠端攻擊者可惡意利用此弱點插入 Cookie。(CVE-2015-7208)

- 存在多個會讓遠端攻擊者執行任意程式碼的不明記憶體損毀問題。
 (CVE-2016-1930、CVE-2016-1931)

- 存在一個整數溢位情形，這是因為在去交錯式過程中不當剖析 GIF 影像所導致。遠端攻擊者可加以惡意利用，透過特製的 GIF 影像，造成拒絕服務情形或是執行任意程式碼。(CVE-2016-1933)

- WebGL 中存在一個緩衝區溢位情形，其會在處理快取記憶體不足錯誤情形時觸發。遠端攻擊者可惡意利用這點，執行任意程式碼。(CVE-2016-1935)

- 存在一個內容偽造弱點，這是因為通訊協定處置程式對話方塊，將按兩下事件視為兩次的按一下事件所導致。遠端攻擊者可惡意利用此偽造內容，讓攻擊者能夠誘騙使用者執行惡意動作。(CVE-2016-1937)

- Network Security Services (NSS) 中存在一個密碼編譯弱點，這是因為「mp_div」及「mp_exptmod」的錯誤計算所導致。(CVE-2016-1938)

- 存在一個 Cookie 插入弱點，這是因為在 Cookie 名稱中允許使用不合法控制字元所導致。遠端攻擊者可惡意利用此弱點插入 Cookie。
 (CVE-2016-1939)

- 存在一個 URL 偽造弱點，這是因為一個對內部通訊協定而言無效的 URL，在處理過程中觸發一個瑕疵，造成將 URL 貼到位址列中所導致。遠端攻擊者可惡意利用此偽造 URL，讓攻擊者能夠誘騙使用者造訪惡意網站。(CVE-2016-1942)

- ANGLE 圖庫實作中存在一個不明的記憶體損毀問題。遠端攻擊者可惡意利用此問題損毀記憶體，進而導致任意程式碼執行。(CVE-2016-1944)

- 存在一個環境指標瑕疵，這是因為不當處理 ZIP 檔案所導致。遠端攻擊者可惡意利用此瑕疵，透過特製 ZIP 檔案造成不明影響。
 (CVE-2016-1945)

- 隨附的 libstagefright 版本中存在一個整數溢位情形，這是因為不當處理 MP4 檔案詮釋資料所導致。遠端攻擊者可惡意利用這點，執行任意程式碼。(CVE-2016-1946)

- 安全瀏覽功能中存在一個瑕疵，這是因為無法連線至 Application Reputation 服務所導致。遠端攻擊者可以惡意利用此瑕疵，說服使用者在未受警告的情況下下載惡意執行檔。(CVE-2016-1947)

- Network Security Services (NSS) 中存在一個釋放後使用錯誤，這是因為 DHE 和 ECDHE 交握期間不當處理失敗的配置所導致。攻擊者可加以利用，解除參照已釋放的記憶體，進而導致執行任意程式碼。
 (CVE-2016-1978)

Bob Clary、Christian Holler、Nils Ohlmeier、Gary Kwong、Jesse Ruderman、Carsten Book、Randell Jesup、Nicolas Pierron、Eric Rescorla、Tyson Smith 和 Gabor Krizsanits 發現 Firefox 中有多個記憶體安全問題。如果使用者遭到誘騙而開啟特製網站，攻擊者可能加以惡意利用，透過損毀應用程式來引發拒絕服務，或以叫用 Firefox 的使用者權限執行任意程式碼。(CVE-2016-1930、CVE-2016-1931)

Gustavo Grieco 發現，在某些情況下載入 GIF 影像時，會發生一個記憶體不足損毀問題。如果使用者遭到誘騙而開啟特製的網站，攻擊者便可惡意利用此弱點造成拒絕服務。(CVE-2016-1933)

Aki Helin 發現，在某些情況下轉譯 WebGL 內容時出現一個緩衝區溢位問題。如果使用者遭到誘騙而開啟特製網站，攻擊者可能加以惡意利用，透過損毀應用程式來引發拒絕服務，或以叫用 Firefox 的使用者權限執行任意程式碼。(CVE-2016-1935)

據發現，聚焦通訊協定處置程式對話方塊時，遺漏一個延遲。如果使用者遭到誘騙而開啟特製的網站，攻擊者可能加以惡意利用，藉此發動點擊劫持攻擊。(CVE-2016-1937)

Hanno Bock 發現，NSS 中的 mp_div 和 mp_exptmod 計算在某些情況下會產生不正確的結果，進而導致密碼編譯弱點。(CVE-2016-1938)

Nicholas Hurley 發現，Firefox 允許在 cookie 名稱中設定控制字元。攻擊者可能加以惡意利用，對某些 Web 伺服器發動 Cookie 插入攻擊。
(CVE-2016-1939)

據發現，在位址列中貼上某些無效的 URL 時，位址列內容可能會遭到操控，進而顯示任意網站的位置。攻擊者可能加以惡意利用，發動 URL 偽造攻擊。(CVE-2016-1942)

Ronald Crane 發現程式碼檢查過程中有三個弱點。
如果使用者遭到誘騙而開啟特製網站，攻擊者可能加以惡意利用，透過損毀應用程式來引發拒絕服務，或以叫用 Firefox 的使用者權限執行任意程式碼。(CVE-2016-1944、CVE-2016-1945、CVE-2016-1946)

Francois Marier 發現，Application Reputation 查閱未正確運作，其停用了潛在惡意下載的警告。攻擊者可能誘騙使用者下載惡意檔案，來惡意利用此問題。其他部分的安全瀏覽功能不受此問題影響。(CVE-2016-1947)

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

此 MozillaFirefox 更新可修正數個安全性問題和錯誤。

Mozilla Firefox 已更新至 44.0 版。Mozilla NSS 已更新至 3.21 版 Mozilla NSPR 已更新至 4.11 版。

下列弱點已修正：

- CVE-2016-1930/CVE-2016-1931：其他記憶體安全危險 (boo#963633)

- CVE-2016-1933：剖析 GIF 格式影像時發生記憶體不足損毀 (boo#963634)

- CVE-2016-1935：在記憶體不足的配置後，WebGL 中發生緩衝區溢位 (boo#963635)

- CVE-2015-7208/CVE-2016-1939：Firefox 允許在 Cookie 名稱中設定控制字元 (boo#963637)

- CVE-2016-1937：在通訊協定處置程式對話方塊中的使用者按一下事件後遺漏延遲 (boo#963641)

- CVE-2016-1938：NSS 中的 mp_div 和 mp_exptmod 密碼編譯函式中有錯誤 (boo#963731)

- CVE-2016-1942/CVE-2016-1943：位址列偽造攻擊 (boo#963643)

- CVE-2016-1944/CVE-2016-1945/CVE-2016-1946：透過程式碼檢查發現不安全的記憶體操控 (boo#963644)

- CVE-2016-1947：Firefox 43 中的 Application Reputation 服務已停用 (boo#963645)

包含下列來自 Mozilla Firefox 43.0.4 的變更：

- 重新啟用 SHA-1 憑證，防止過時的攔截式安全性裝置干擾受到妥善保護的 SSL/TLS 連線

USN-2880-1 已修復 Firefox 中的弱點。此更新引入了一個迴歸，可造成 Firefox 在以某些組態啟動時損毀。此更新可修正該問題。

由此給您帶來的不便，我們深表歉意。

Bob Clary、Christian Holler、Nils Ohlmeier、Gary Kwong、Jesse Ruderman、Carsten Book、Randell Jesup、Nicolas Pierron、Eric Rescorla、Tyson Smith 和 Gabor Krizsanits 發現 Firefox 中有多個記憶體安全問題。如果使用者遭到誘騙而開啟特製網站，攻擊者可能加以惡意利用，透過損毀應用程式來引發拒絕服務，或以叫用 Firefox 的使用者權限執行任意程式碼。(CVE-2016-1930、CVE-2016-1931)

Gustavo Grieco 發現，在某些情況下載入 GIF 影像時，會發生一個記憶體不足損毀問題。如果使用者遭到誘騙而開啟特製的網站，攻擊者便可惡意利用此弱點造成拒絕服務。
(CVE-2016-1933)

Aki Helin 發現，在某些情況下轉譯 WebGL 內容時出現一個緩衝區溢位問題。如果使用者遭到誘騙而開啟特製網站，攻擊者可能加以惡意利用，透過損毀應用程式來引發拒絕服務，或以叫用 Firefox 的使用者權限執行任意程式碼。(CVE-2016-1935)

據發現，聚焦通訊協定處置程式對話方塊時，遺漏一個延遲。如果使用者遭到誘騙而開啟特製的網站，攻擊者可能加以惡意利用，藉此發動點擊劫持攻擊。
(CVE-2016-1937)

Hanno Bock 發現，NSS 中的 mp_div 和 mp_exptmod 計算在某些情況下會產生不正確的結果，進而導致密碼編譯弱點。
(CVE-2016-1938)

Nicholas Hurley 發現，Firefox 允許在 cookie 名稱中設定控制字元。攻擊者可能加以惡意利用，對某些 Web 伺服器發動 Cookie 插入攻擊。(CVE-2016-1939)

據發現，在位址列中貼上某些無效的 URL 時，位址列內容可能會遭到操控，進而顯示任意網站的位置。攻擊者可能加以惡意利用，發動 URL 偽造攻擊。(CVE-2016-1942)

Ronald Crane 發現程式碼檢查過程中有三個弱點。如果使用者遭到誘騙而開啟特製網站，攻擊者可能加以惡意利用，透過損毀應用程式來引發拒絕服務，或以叫用 Firefox 的使用者權限執行任意程式碼。(CVE-2016-1944、CVE-2016-1945、CVE-2016-1946)

Francois Marier 發現，Application Reputation 查閱未正確運作，其停用了潛在惡意下載的警告。攻擊者可能誘騙使用者下載惡意檔案，來惡意利用此問題。其他部分的安全瀏覽功能不受此問題影響。(CVE-2016-1947)

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	名稱	產品	系列	已發布	已更新	嚴重性
88552	openSUSE 安全性更新：Mozilla Firefox (openSUSE-2016-131)	Nessus	SuSE Local Security Checks	2016/2/3	2021/1/19	critical
88461	Firefox < 44 多個弱點	Nessus	Windows	2016/1/28	2019/11/20	critical
88512	FreeBSD：mozilla -- 多個弱點 (4f00dac0-1e18-4481-95af-7aaad63fd303)	Nessus	FreeBSD Local Security Checks	2016/2/2	2021/1/4	critical
91379	GLSA-201605-06：Mozilla 產品：多個弱點	Nessus	Gentoo Local Security Checks	2016/5/31	2022/12/5	critical
88459	Firefox < 44 多個弱點 (Mac OS X)	Nessus	MacOS X Local Security Checks	2016/1/28	2019/11/20	critical
88456	Ubuntu 14.04 LTS：Firefox 弱點 (USN-2880-1)	Nessus	Ubuntu Local Security Checks	2016/1/28	2023/10/23	critical
88549	openSUSE 安全性更新：MozillaFirefox / mozilla-nss 和 mozilla-nspr (openSUSE-2016-128)	Nessus	SuSE Local Security Checks	2016/2/3	2021/1/19	critical
88637	Ubuntu 14.04 LTS：Firefox 迴歸 (USN-2880-2)	Nessus	Ubuntu Local Security Checks	2016/2/9	2023/10/20	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical

critical