远程 Windows 主机上安装的 Firefox ESR 版本低于 60.1。因此如公告 mfsa2018-16 所述受到多个漏洞的影响。

  - Mozilla 开发人员和社区成员 Alex Gaynor、Christoph Diehl、Christian Holler、Jason Kratzer、David major、Jon Coppeard、Nicolas B. Pierron、Jason Kratzer、Marcia Knous 和 Ronald Crane 报告 Firefox 60、Firefox ESR 60 中存在内存安全错误和 Firefox ESR 52.8。有迹象表明其中某些缺陷可导致内存损坏我们推测若攻击者有意操控就能利用其中部分缺陷来运行任意代码。 (CVE-2018-5188)

  - Windows 10 打开扩展为 <code>settingContent-ms</code> 的可执行文件之前也不警告用户即使这些文件已从 Internet 下载并带有 web 标记。如果没有警告，不熟悉这种新文件类型、没有防备的用户可能会运行不需要的可执行文件。这还允许具有有限 <code>downloads.open</code> 权限的 WebExtension在 Windows 10 系统上执行任意代码而无需用户交互。 注意此问题仅影响 Windows 操作系统。其他操作系统不受影响。(CVE-2018-12368)

  - 在动态调整 <code><canvas></code> 元素的高度和宽度的同时渲染画布内容时可能发生缓冲区溢出从而导致在当前计算的边界之外写入数据。这会导致潜在可利用的崩溃。 (CVE-2018-12359)

  - 由聚焦于该元素触发的变动事件处理程序期间当删除 <code>输入</code> 元素时可出现释放后使用漏洞。这会导致潜在可利用的崩溃。
    (CVE-2018-12360)

  - 计算缓冲区大小时 <code>SwizzleData</code> 代码中可能发生整数溢出。溢出的值会在后续的图形计算的输入未经过清理时用于后续的图形计算造成潜在可利用的崩溃。 (CVE-2018-12361)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Mozilla Firefox ESR < 60.1

critical Nessus 插件 ID 110810

版本 1.7