遠端 Windows 主機上安裝的 Firefox 版本比 46 版舊。因此，會受到多個弱點影響：

- 存在多個記憶體損毀問題，可允許攻擊者損毀記憶體，進而導致執行任意程式碼。(CVE-2016-2804、CVE-2016-2806、CVE-2016-2807)

- 存在一個瑕疵，這是因為在處理基礎 HashMap 的 32 位元產生計數時，不當驗證使用者提供的輸入所導致。內容相依的攻擊者可惡意利用此瑕疵，造成緩衝區溢位情形，進而導致拒絕服務或執行任意程式碼。(CVE-2016-2808)

- Maintenance Service 更新程式中存在一個本機權限提升弱點，這是因為不當處理長記錄檔路徑所導致。本機攻擊者可惡意利用此弱點，刪除任意檔案和取得提升的權限。
 (CVE-2016-2809)

- 存在一個因 BeginReading() 函式中釋放後使用錯誤而導致的遠端程式碼執行弱點。內容相依的攻擊者可加以惡意利用，解除參照已釋放的記憶體，進而導致任意程式碼執行。(CVE-2016-2811)

- 存在一個因 get() 函式中 ServiceWorkerManager 的爭用情形而導致的遠端程式碼執行弱點。內容相依的攻擊者可惡意利用此弱點，執行任意程式碼。(CVE-2016-2812)

- Google Stagefright 元件中存在一個堆積緩衝區溢位情形，這是因為在處理 CENC 位移和大小表格時，不當驗證使用者提供的輸入所導致。內容相依的攻擊者可加以惡意利用，造成拒絕服務情形或執行任意程式碼。(CVE-2016-2814)

- 由於內容安全性原則 (CSP) 未正確套用至隨「multipart/x-mixed-replace」MIME-type 傳送的 web 內容，導致存在一個安全性繞過弱點。內容相依的攻擊者可惡意利用此弱點，繞過 CSP 保護。(CVE-2016-2816)

- 由於不當限制無權限的「javascript: URL」導覽，導致存在一個跨網站指令碼 (XSS) 弱點。內容相依的攻擊者可加以惡意利用，透過特製的要求，在使用者的瀏覽器工作階段內容中執行任意指令碼。(CVE-2016-2817)

- Firefox 健康狀況報告存在一個瑕疵，當報告接收任何以其 iframe 呈現的內容文件事件時，便會觸發該瑕疵。內容相依的攻擊者可惡意利用此弱點，操控共用偏好設定。(CVE-2016-2820)

此 Mozilla Firefox 46.0 更新可修正數個安全性問題和錯誤 (boo#977333)。

下列弱點已修正：

- CVE-2016-2804：其他記憶體安全性危險 - MFSA 2016-39 (boo#977373)

- CVE-2016-2806：其他記憶體安全性危險 - MFSA 2016-39 (boo#977375)

- CVE-2016-2807：其他記憶體安全性危險 - MFSA 2016-39 (boo#977376)

- CVE-2016-2808：透過 JavaScript.watch() 寫入無效的 HashMap 項目

- MFSA 2016-47 (boo#977386)

- CVE-2016-2811：服務背景工作中的釋放後使用 - MFSA 2016-42 (boo#977379)

- CVE-2016-2812：服務背景工作中發生緩衝區溢位 - MFSA 2016-42 (boo#977379)

- CVE-2016-2814：libstagefright 中因 CENC 位移發生的緩衝區溢位 - MFSA 2016-44 (boo#977381)

- CVE-2016-2816：CSP 未套用至透過 multipart/x-mixed-replace 傳送的頁面 - MFSA 2016-45 (boo#977382)

- CVE-2016-2817：透過 Web 延伸模組中的 chrome.tabs.update API 提升權限 - MFSA 2016-46 (boo#977384)

- CVE-2016-2820：Firefox 健康狀況報告可接受來自不受信任網域的事件 - MFSA 2016-48 (boo#977388)

包含下列其他變更：

- 改善 JavaScript Just In Time (JIT) 編譯器的安全性

- WebRTC 修正可改善效能和穩定性

- 新增對 document.elementsFromPoint 的支援

- 新增對 Web Crypto API 的 HKDF 支援

最低需求提高為 NSPR 4.12 和 NSS 3.22.3。

Mozilla NSS 已更新至 3.22.3 版做為 Mozilla Firefox 46.0 的相依性，包含下列變更：

- 提高 TLS 延伸主要密碼的相容性，不在交握結束前傳送空 TLS 延伸 (bmo#1243641)

- 現在支援 RSA-PSS 簽章

- 現在支援依據雜湊而非 SHA-1 的偽隨機函式

- 在 NSS 上強制執行來自組態檔的外部原則

遠端主機受到 GLSA-201701-15 中所述的弱點影響 (Mozilla Firefox、Thunderbird：多個弱點) 在 Mozilla Firefox 和 Thunderbird 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。影響：遠端攻擊者可能以處理程序的權限執行任意程式碼，或透過多個向量造成拒絕服務情況。因應措施：目前尚無已知的因應措施。

ID	名稱	產品	系列	已發布	已更新	嚴重性
90793	Firefox < 46 多個弱點	Nessus	Windows	2016/4/29	2019/11/20	high
91069	openSUSE 安全性更新：Firefox (openSUSE-2016-566)	Nessus	SuSE Local Security Checks	2016/5/12	2021/1/19	high
96276	GLSA-201701-15：Mozilla Firefox、Thunderbird：多個弱點 (SWEET32)	Nessus	Gentoo Local Security Checks	2017/1/4	2023/6/22	critical

偵測

搜尋 Plugin

high

high

critical