Mozilla Firefox ESR < 128.10
high Nessus 插件 ID 234928
语言：
简介
远程 Windows 主机上安装的 Web 浏览器受到多个漏洞影响。描述
远程 Windows 主机上安装的 Firefox ESR 版本低于 128.10。因此，该应用程序受到 mfsa2025-29 公告中提及的多个漏洞的影响。- Firefox 137、Thunderbird 137、Firefox ESR 128.9 和 Thunderbird 128.9 中存在内存安全缺陷。其中某些错误展示出内存损坏迹象，我们推测若攻击者付出足够努力，就能利用部分错误运行任意代码。(CVE-2025-4091)
- Mozilla Firefox 的更新机制允许中等完整性的用户进程通过操纵文件锁定行为来干扰系统级别的更新程序。通过向用户特权进程注入代码，攻击者可以绕过预期访问控制，从而能对非特权用户控制的路径进行系统级别文件操作并实现特权提升。(CVE-2025-2817)
- 修改特定 WebGL 着色器属性可能触发越界读取，当与其他漏洞链接时，可用于提升特权。此错误仅影响 macOS 版 Firefox。
其他版本的 Firefox 不受影响。(CVE-2025-4082)
- Firefox 中的进程隔离漏洞源于未正确处理 javascript: URI，这可允许在顶级文档进程而不是预期框架中执行内容，从而可能造成沙盒逃逸。(CVE-2025-4083)
- 由于作为 cURL 功能的副本中特殊字符的转义不充分，攻击者可以诱骗用户使用此命令，从而可能导致在用户系统上执行本地代码。
此错误仅影响 Windows 版 Firefox。其他版本的 Firefox 不受影响。(CVE-2025-4084)
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
升级至 Mozilla Firefox ESR 128.10 或更高版本。另见
https://www.mozilla.org/en-US/security/advisories/mfsa2025-29/
插件详情
严重性: High
ID: 234928
文件名: mozilla_firefox_128_10_esr.nasl
版本: 1.4
类型: local
代理: windows
系列: Windows
发布时间: 2025/4/29
最近更新时间: 2025/5/22
支持的传感器: Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 6.7
CVSS v2
风险因素: Medium
基本分数: 6.8
时间分数: 5
矢量: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P
CVSS 分数来源: CVE-2025-4091
CVSS v3
风险因素: High
基本分数: 8.8
时间分数: 7.7
矢量: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
CVSS 分数来源: CVE-2025-2817
漏洞信息
CPE: cpe:/a:mozilla:firefox_esr
必需的 KB 项: Mozilla/Firefox/Version
易利用性: No known exploits are available
补丁发布日期: 2025/4/29
漏洞发布日期: 2025/4/29
参考资料信息
CVE: CVE-2025-2817, CVE-2025-4082, CVE-2025-4083, CVE-2025-4084, CVE-2025-4087, CVE-2025-4091, CVE-2025-4093
IAVA: 2025-A-0307-S