远程MiracleLinux 3 主机上存在安装的程序包该程序包受到 AXSA:2009-419:04 公告中提及的多个漏洞的影响。

    Mozilla Firefox 是一款开源 Web 浏览器专门针对标准合规性、性能和可移植性而设计。
    NSPR 为非 GUI 操作系统设施提供平台独立性。这些设施包括线程、线程同步、正常文件和网络 I/O、间隔定时和日历时间、基本内存管理malloc 和释放以及共享库链接。
    XULRunner 为 Gecko 应用程序提供 XUL 运行时环境。
    包含了 nspr 程序包此版本修复的安全缺陷
    CVE-2009-1563 Mozilla Firefox 中的 3.0.x 之前的 3.0.15 和 3.5.x 之前的 3.5.4 中存在数组索引错误允许远程攻击者通过长字符串执行任意代码在转换为浮点数期间会触发错误的内存分配和基于堆的缓冲区溢出。
    CVE-2009-3274 Linux 上的 Mozilla Firefox 3.6a1、 3.5.2和更早的 2.x 版和 3.x 版针对从“下载”窗口选择的文件使用可预测的 /tmp 路径名允许本地用户通过将文件放置在/tmp 发生下载前的位置这可能与 Archive Manager 组件有关。
    注意：这些详细信息中的一部分获取自第三方信息。
    CVE-2009-3370 低于 3.0.15的 Mozilla Firefox 以及低于 3.5.x3.5.4] 的Mozilla Firefox 允许远程攻击者通过伪造鼠标和键盘事件来读取表单历史记录这些事件利用自动填充功能以攻击者可读的表单填充表单字段。
    CVE-2009-3372 之前的 Mozilla Firefox 和 3.0.153.5.x 之前的 3.5.4以及 2.0之前的 SeaMonkey 允许远程攻击者通过代理自动配置 (PAC) 文件中构建的正则表达式执行任意代码。
    CVE-2009-3373 在低于 3.0.15 的Mozilla Firefox 和低于 3.5.43.5.x 的[] 的 Mozilla Firefox 以及低于 2.0的SeaMonkey 中GIF 图像解析器存在基于堆的缓冲区溢出允许远程攻击者通过不明矢量执行任意代码。
    CVE-2009-3374 在低于 3.0.15 [] 的 Mozilla Firefox 和低于 的 Mozilla Firefox 3.0.x 以及低于 3.5.x 的 Mozilla Firefox 3.5.4 中XPCVariant::VariantDataToJS 函数不会对 chrome 特权代码和从远程网站获取的对象之间的交互强制实施预期限制这允许远程攻击者通过与双重封装的对象相关的不明方法调用以 chrome 权限执行任意 JavaScript。
    Mozilla Firefox 中低于 3.0.x 的 3.0.15 和低于 [] 的 3.5.x3.5.4 中的CVE-2009-3375 content/html/document/src/nsHTMLDocument.cpp 可让用户协助的远程攻击者通过 document.getSelection 绕过同源策略并读取任意内容选择函数。
    CVE-2009-3376 低于 3.0.15 和低于 3.5.4的 3.5.x ] 的 Mozilla Firefox以及低于 2.0的 SeaMonkey 未正确处理下载文件名中从右到左替代也称为 RLO 或 U+202EUnicode 字符这允许远程攻击者通过构建的文件名欺骗文件扩展名显示可执行文件的非可执行扩展名即为一例。
    CVE-2009-3380 在低于 3.0.15 和 3.5.x 之前的 Mozilla Firefox 3.0.x 和 [ 3.5.4 中的浏览器引擎存在多种不明漏洞允许远程攻击者通过未知矢量造成拒绝服务内存损坏和应用程序崩溃或执行任意代码。
    CVE-2009-3382 ] 低于 3.0.15 ] 的 Mozilla Firefox 3.0.x 中浏览器引擎中的 [layout/base/nsCSSFrameConstructor.cpp] 未正确处理首字母框架这允许远程攻击者造成拒绝服务内存损坏和应用程序崩溃或者可能执行通过不明矢量执行任意代码。

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

MagicLinux 3firefox-3.0.15-3.1AXS3 (AXSA:2009-419:04)

critical Nessus 插件 ID 284333

版本 1.1