Amazon Linux 2：firefox (ALASFIREFOX-2023-012)

high Nessus 插件 ID 182051

语言：

简介

远程 Amazon Linux 2 主机缺少安全更新。

描述

远程主机上安装的 Firefox 版本低于 91.13.0-1。因此，它受到 ALAS2FIREFOX-2023-012 公告中提及的多个漏洞影响。

- Mozilla 开发人员和 Mozilla Fuzzing 团队报告 Firefox 102 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测如果攻击者进行足够的尝试，则可以利用此漏洞运行任意代码。此漏洞会影响 Firefox ESR < 102.1、Firefox < 103 和 Thunderbird < 102.1。(CVE-2022-2505)

- 当访问以 `chrome: //` URL 作为源文本的目录列表时，会反映部分参数。此漏洞会影响 Firefox ESR < 102.1、Firefox ESR < 91.12、Firefox < 103、Thunderbird < 102.1 和 Thunderbird < 91.12。(CVE-2022-36318)

- 合并溢出和转换的 CSS 属性时，与鼠标光标交互的坐标可能与显示的坐标不同。此漏洞会影响 Firefox ESR < 102.1、Firefox ESR < 91.12、Firefox < 103、Thunderbird < 102.1 和 Thunderbird < 91.12。(CVE-2022-36319)

- 攻击者可能已滥用 XSLT 错误处理，将攻击者控制的内容与地址栏中显示的其他来源相关联。这可能被用来诱骗用户提交用于受欺骗的源的数据。此漏洞会影响 Thunderbird < 102.2、Thunderbird < 91.13、Firefox ESR < 91.13、Firefox ESR < 102.2 以及 Firefox < 104。(CVE-2022-38472)

- 引用 XSLT 文档的跨源 iframe 会继承父域的权限（例如麦克风或摄像头访问权限）。此漏洞会影响 Thunderbird < 102.2、Thunderbird < 91.13、Firefox ESR < 91.13、Firefox ESR < 102.2 以及 Firefox < 104。(CVE-2022-38473)

- <code>PK11_ChangePW</code> 函数中可能发生数据争用，从而可能导致释放后使用漏洞。在 Firefox 中，此锁可在用户更改主密码时保护数据。
此漏洞会影响 Firefox ESR < 102.2 和 Thunderbird < 102.2。(CVE-2022-38476)

- Mozilla 开发人员 Nika Layzell 及 Mozilla Fuzzing 团队报告 Firefox 103 与 Firefox ESR 102.1 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测如果攻击者进行足够的尝试，则可以利用此漏洞运行任意代码。此漏洞会影响 Firefox ESR < 102.2、Thunderbird < 102.2 和 Firefox < 104。(CVE-2022-38477)

- Mozilla Fuzzing 团队成员报告 Firefox 103、Firefox ESR 102.1 与 Firefox ESR 91.12 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测如果攻击者进行足够的尝试，则可以利用此漏洞运行任意代码。此漏洞会影响 Thunderbird < 102.2、Thunderbird < 91.13、Firefox ESR < 91.13、Firefox ESR < 102.2 以及 Firefox < 104。
(CVE-2022-38478)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。