远程MiracleLinux 4 主机上存在安装的程序包该程序包受到 AXSA:2012-874:05 公告中提及的多个漏洞的影响。

    Mozilla Firefox 是一款开源 Web 浏览器专门针对标准合规性、性能和可移植性而设计。
    此版本修复的安全问题
     在低于CVE-2011-306218.0.1025.142 ] 的Google Chrome 中OpenType 审查器中存在差一错误允许远程攻击者通过构建的 OpenType 文件造成拒绝服务或可能造成其他不明影响。
     CVE-2012-0467 在 Mozilla Firefox 4.x 至 11.0、 之前的 Firefox ESR 10.x10.0.4、 Thunderbird 5.0 至 11.0[]、低于 10.0.4的Thunderbird ESR 10.x 以及 2.9 之前的 SeaMonkey 中浏览器引擎中的多种不明漏洞允许远程攻击者通过未知矢量造成拒绝服务内存损坏和应用程序崩溃或可能执行任意代码。
     CVE-2012-0468 Mozilla Firefox 4.x 至 11.0、Thunderbird 5.0 至 11.0以及 2.9 之前版本的 SeaMonkey 中的浏览器引擎允许远程攻击者通过相关矢量造成拒绝服务断言失败和内存损坏或者可能执行任意代码。 jsval.h 和 js::array_shift 函数。
     CVE-2012-0469 在 Mozilla Firefox 4.x 到 11.0、Firefox ESR 10.x 之前的 10.0.4、Thunderbird 5.0 到 11.0中mozilla::dom::indexedDB::IDBKeyRange::cycleCollection::Trace 函数中存在释放后使用漏洞、低于 10.0.4的 Thunderbird ESR 10.x 以及低于 2.9 的 SeaMonkey 允许远程攻击者通过与构建的 IndexedDB 数据相关的矢量执行任意代码。
     在 Mozilla Firefox 4.x 到 11.0、低于 [] 的 Firefox ESR 10.x 、Thunderbird 5.0 ] 到 10.0.4、低于 11.0的 Thunderbird ESR 10.x ] 以及低于 10.0.4的 SeaMonkey 中nsSVGFEDiffuseLightingElement::LightPixel 函数中存在CVE-2012-0470 堆的缓冲区 2.9 溢出]允许远程攻击者通过利用不同数字系统的使用造成拒绝服务无效 gfxImageSurface 释放操作或可能执行任意代码。
     CVE-2012-0471 Mozilla Firefox 4.x 至 11.0、低于 [] 的 Firefox ESR 10.x 、Thunderbird 5.0 至 11.0、低于 [ 10.0.4] 的Thunderbird ESR 10.x 以及 10.0.4之前的 SeaMonkey 中存在 2.9 跨站脚本 (XSS) 漏洞允许远程攻击者通过多字节字符集注入任意 Web 脚本或 HTML。
     CVE-2012-0472 Mozilla Firefox 4.x 至 11.0、低于 10.0.4的Firefox ESR 10.x 、Thunderbird 5.0 至 11.0、低于 10.0.4] 的 Thunderbird ESR 10.x 以及低于 2.9的 SeaMonkey 中的 cairo-dwrite 实现当某些 Windows Vista 和使用了 Windows 7 配置未正确限制字体渲染尝试进而允许远程攻击者通过不明矢量造成拒绝服务内存损坏或可能执行任意代码。
     CVE-2012-0473 Mozilla Firefox 4.x 至 11.0、 10.0.4之前的 Firefox ESR 10.x 、Thunderbird 5.0 至 11.0、 [ 10.0.4之前的 Thunderbird ESR 10.x 以及 2.9 之前的 SeaMonkey 中的 WebGLBuffer::FindMaxUshortElement 函数使用 FindMaxElementInSubArray 调用 FindMaxElementInSubArray 函数不正确的模板参数其允许远程攻击者通过构建的 WebGL.drawElements 调用从视频内存获取敏感信息。
     CVE-2012-0474 Mozilla Firefox 4.x 到 11.0、低于 [] 的 Firefox ESR 10.x10.0.4、 Thunderbird 5.0 到 11.0、低于 [] 的 Thunderbird ESR 10.x 以及低于 10.0.4的 SeaMonkey 中的 docshell 实现中存在跨站脚本 ( 2.9 XSS)漏洞允许远程攻击者通过与短路的页面加载也称为通用 XSS (UXSS) 相关的矢量注入任意 Web 脚本或 HTML。
     CVE-2012-0477 Mozilla Firefox 4.x 至 11.0、低于 10.0.4的 Firefox ESR 10.x 、Thunderbird 5.0 至 11.0、低于 10.0.4的 Thunderbird ESR 10.x 以及 2.9 之前的 SeaMonkey 的 WebGL 子系统中的 texImage2D 实现JSVAL_TO_OBJECT 转换可能允许远程攻击者通过构建的网页执行任意代码。
     CVE-2012-0478 Mozilla Firefox 4.x 至 11.0、低于 10.0.4的 Firefox ESR 10.x 、Thunderbird 5.0 至 11.0、低于 10.0.4的 Thunderbird ESR 10.x 以及 2.9 之前的 SeaMonkey 的 WebGL 子系统中的 texImage2D 实现JSVAL_TO_OBJECT 转换可能允许远程攻击者通过构建的网页执行任意代码。
     CVE-2012-0479 Mozilla Firefox 4.x 至 11.0、低于 10.0.4的Firefox ESR 10.x 、Thunderbird 5.0 至 11.0、低于 10.0.4的 Thunderbird ESR 10.x 以及低于 2.9 的SeaMonkey 允许远程攻击者通过 https URL 欺骗地址栏无效的 (1) RSS 或 (2) Atom XML 内容。
     CVE-2012-1948 在 Mozilla Firefox 4.x 至 13.0、 之前的 Firefox ESR 10.x10.0.6、 Thunderbird 5.0 至 13.0[]、低于 10.0.6的Thunderbird ESR 10.x 以及 2.11 之前的 SeaMonkey 中浏览器引擎中的多种不明漏洞允许远程攻击者通过未知矢量造成拒绝服务内存损坏和应用程序崩溃或可能执行任意代码。
     CVE-2012-1950 Mozilla Firefox 4.x 至 13.0 以及 10.0.6 之前的 Firefox ESR 10.x ] 中的拖放实现允许远程攻击者通过取消页面加载欺骗地址栏。
     CVE-2012-1951 Mozilla Firefox 4.x 到 13.0、低于 [] 的 Firefox ESR 10.x10.0.6、 Thunderbird 5.0 至 13.0、低于 [ 10.0.6] 的Thunderbird ESR 10.x 以及低于 的 SeaMonkey 中的 nsSMILTimeValueSpec::IsEventBased 函数存在释放后使用漏洞 2.11 允许远程攻击者通过与用于 SMIL Timing 的对象交互造成拒绝服务堆内存损坏或者可能执行任意代码。
     CVE-2012-1952 Mozilla Firefox 4.x 到 13.0、低于 [] 的 Firefox ESR 10.x10.0.6、 Thunderbird 5.0 到 13.0、低于 [ 10.0.6的 Thunderbird ESR 10.x 以及 2.11 之前的 SeaMonkey 中的 nsTableFrame::InsertFrames 函数未正确执行在处理混合的 row-group 和 columns-group 框架期间帧变量的转换可允许远程攻击者通过构建的网站执行任意代码。
     CVE-2012-1953 Mozilla Firefox 4.x 至 13.0、低于 [] 的 Firefox ESR 10.x10.0.6、 Thunderbird 5.0 至 13.0、低于 [ 10.0.6的 Thunderbird ESR 10.x 以及 2.11 之前的 SeaMonkey 中的 ElementAnimations::EnsureStyleRuleFor 函数允许远程攻击者造成拒绝服务缓冲区读取越界、错误的指针取消引用和基于堆的缓冲区溢出或可能通过构建的网站执行任意代码。
     CVE-2012-1954 Mozilla Firefox 4.x 到 13.0、低于 [] 的 Firefox ESR 10.x10.0.6、Thunderbird 5.0 至 13.0、低于 [ 10.0.6的 Thunderbird ESR 10.x 以及低于 的 SeaMonkey 中的 nsDocument::AdoptNode 函数存在释放后使用漏洞 2.11 允许远程攻击者通过涉及多个采用和空文档的向量造成拒绝服务堆内存损坏或者可能执行任意代码。
     CVE-2012-1955 Mozilla Firefox 4.x 至 13.0、低于 10.0.6的 Firefox ESR 10.x 、Thunderbird 5.0 至 13.0、低于 10.0.6的 Thunderbird ESR 10.x 以及低于 2.11 的SeaMonkey 允许远程攻击者通过涉及历史记录的矢量欺骗地址栏.forward 和 history.back 调用。
     CVE-2012-1957 Mozilla Firefox 4.x 到 13.0、低于 [] 的 Firefox ESR 10.x10.0.6、 Thunderbird 5.0 到 13.0、低于 [ 10.0.6的 Thunderbird ESR 10.x 以及 2.11 之前的 SeaMonkey 中的一个不明解析器实用工具类未正确处理 EMBED元素在 RSS 源的描述元素内起作用从而允许远程攻击者通过 feed 源发动跨站脚本 (XSS) 攻击。
     CVE-2012-1958 Mozilla Firefox 4.x 到 13.0、低于 [] 的 Firefox ESR 10.x10.0.6、 Thunderbird 5.0 至 13.0、低于 [ 10.0.6] 的Thunderbird ESR 10.x 以及低于 的 SeaMonkey 中的 nsGlobalWindow::PageHidden 函数存在释放后使用漏洞 2.11 可能允许远程攻击者通过与聚焦内容相关的矢量执行任意代码。
     CVE-2012-1959 Mozilla Firefox 4.x 至 13.0、 [] 之前的 Firefox ESR 10.x10.0.6、Thunderbird 5.0 至 13.0、 10.0.6之前的 Thunderbird ESR 10.x 以及 2.11 之前的 SeaMonkey 未考虑是否存在同隔离舱安全封装程序SCSW在对象的跨隔离舱封装期间允许远程攻击者通过构建的内容绕过预期的 XBL 访问限制。
     CVE-2012-1961 Mozilla Firefox 4.x 至 13.0、低于 10.0.6] 的 Firefox ESR 10.x ]、Thunderbird 5.0 至 13.0、低于 10.0.6的 Thunderbird ESR 10.x 以及低于 2.11 的 SeaMonkey 未正确处理 X-Frame-Options 中的重复值标头的缺陷从而使远程攻击者更容易通过引用生成这些重复值的网站的 FRAME 元素进行点击劫持攻击。
     CVE-2012-1962 Mozilla Firefox 4.x 到 13.0、低于 [] 的 Firefox ESR 10.x10.0.6、Thunderbird 5.0 至 13.0、低于 [ 10.0.6的 Thunderbird ESR 10.x 以及低于 的 SeaMonkey 中的 JSDependentString::undepend 函数存在释放后使用漏洞 2.11 允许远程攻击者通过涉及具有多种依存关系的字符串的矢量造成拒绝服务内存损坏或可能执行任意代码。
     CVE-2012-1963 内容安全策略 (CSP) 功能在 Mozilla Firefox 4.x 至 13.0、低于 10.0.6的 Firefox ESR 10.x 、Thunderbird 5.0 至 13.0、低于 10.0.6的 Thunderbird ESR 10.x 以及 2.11 之前的 SeaMonkey 中无法正常显示限制放入违规报告的 blocked-uri 参数中的字符串其允许远程 Web 服务器通过触发违规以捕获 OpenID 凭据和 OAuth 2.0 访问标记。
     CVE-2012-1964 Mozilla Firefox 4.x 到 12.0、低于 [] 的 Firefox ESR 10.x10.0.6、 Thunderbird 5.0 到 12.0、低于 [] 的 Thunderbird ESR 10.x10.0.6中browser/components/certerror/content/aboutCertError.xhtml 中的证书警告功能以及 2.10 之前的 SeaMonkey 未正确处理 about:certerror 页面的点击劫持尝试这允许中间人攻击者通过 IFRAME 元素诱骗用户添加非预期的异常。
     CVE-2012-1965 Mozilla Firefox 4.x 到 13.0 以及 之前的 Firefox ESR 10.x10.0.6 未正确建立源 URL 的安全上下文从而允许远程攻击者通过 feed 源绕过不明跨站脚本 (XSS) 保护机制javascriptURL。
     CVE-2012-1966 Mozilla Firefox 4.x 到 13.0 以及 低于 10.0.6 的 Firefox ESR 10.x 对 data:URL 和 javascript: URL 不同上下文菜单限制这允许远程攻击者进行跨站脚本 (XSS) 攻击通过构建的 URL。
     CVE-2012-1967 Mozilla Firefox 4.x 至 13.0、低于 10.0.6的Firefox ESR 10.x ]、Thunderbird 5.0 至 13.0、低于 10.0.6的 Thunderbird ESR 10.x 以及低于 2.11 的 SeaMonkey 未正确实现 JavaScript 沙盒实用工具这允许远程攻击攻击者通过 javascript: URL 以不当权限执行任意 JavaScript 代码。

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

iracleLinux 4firefox-10.0.6-1.0.1.AXS4、xulrunner-10.0.6-1.0.1.AXS4 (AXSA:2012-874:05)

medium Nessus 插件 ID 283914

版本 1.1