Amazon Linux 2：firefox (ALASFIREFOX-2024-031)

critical Nessus 插件 ID 210080

语言：

简介

远程 Amazon Linux 2 主机缺少安全更新。

描述

远程主机上安装的 Firefox 版本低于 115.16.1-1。因此，它受到 ALAS2FIREFOX-2024-031 公告中提及的多个漏洞影响。

遭入侵的内容进程可允许跨源页面的任意加载。此漏洞会影响 Firefox < 131、Firefox ESR < 128.3、Firefox ESR < 115.16、Thunderbird < 128.3 和 Thunderbird < 131。(CVE-2024-9392)

攻击者可通过特制的多部分响应，在“resource://pdf.js”源下执行任意 JavaScript。这可允许他们访问跨源 PDF 内容。桌面客户端上的网站隔离功能将此访问限制为相同的网站文档，但在 Android 版本上可以进行完全的跨源访问。此漏洞会影响 Firefox < 131、Firefox ESR < 128.3、Firefox ESR < 115.16、Thunderbird < 128.3 和 Thunderbird < 131。(CVE-2024-9393)

攻击者可通过特制的多部分响应，在“resource://devtools”源下执行任意 JavaScript。这可允许他们访问跨源 JSON 内容。桌面客户端上的网站隔离功能将此访问限制为相同的网站文档，但在 Android 版本上可以进行完全的跨源访问。此漏洞会影响 Firefox < 131、Firefox ESR < 128.3、Firefox ESR < 115.16、Thunderbird < 128.3 和 Thunderbird < 131。(CVE-2024-9394)

在 Firefox 130、Firefox ESR 115.15、Firefox ESR 128.2 和 Thunderbird 128.2 中修复了内存安全缺陷。
其中某些错误展示出内存损坏迹象，我们推测如果攻击者进行足够的尝试，则可以利用此漏洞运行任意代码。此漏洞会影响 Firefox < 131、Firefox ESR < 128.3、Firefox ESR < 115.16、Thunderbird < 128.3 和 Thunderbird < 131。(CVE-2024-9401)

攻击者可以通过利用动画时间轴中的释放后使用，在内容流程中执行代码。我们已经报告此漏洞正在通常环境中被利用。此漏洞会影响 Firefox < 131.0.2、Firefox ESR < 128.3.1 和 Firefox ESR < 115.16.1。
(CVE-2024-9680)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。