iracleLinux 3firefox-10.0.3-1.0.1.AXS3、xulrunner-10.0.3-1.0.1.AXS3 (AXSA:2012-468:03)
medium Nessus 插件 ID 284409
语言：
简介
远程iraclelinux 主机缺少一个或多个安全更新。描述
远程 MagicLinux 3 主机上存在安装的程序包该程序包受到 AXSA:2012-468:03 公告中提及的多个漏洞的影响。Mozilla Firefox 是一款开源 Web 浏览器专门针对标准合规性、性能和可移植性而设计。
已从版本 3.6.26 升级到版本 10.0.3 此版本修复的安全问题
Mozilla Firefox 4.x 至 10.0、低于 [] 的 Firefox ESR 10.x10.0.3、 Thunderbird 5.0 至 10.0、低于 10.0.3] 的 Thunderbird ESR 10.x 以及低于 2.8 [] 的 SeaMonkey 中的 CVE-2012-0451 CRLF注入漏洞允许远程 Web 服务器绕过预期内容存在安全策略 (CSP) 限制，并且可能通过构建的 HTTP 标头发动跨站脚本 (XSS) 攻击。
CVE-2012-0455 低于 3.6.28 和 4.x 到 10.0的 Mozilla Firefox、低于 10.0.3] 的 Firefox ESR 10.x 、低于 3.1.20 和 5.010.0到的 Thunderbird、低于 10.0.3的 Thunderbird ESR 10.x 以及低于 2.8 的SeaMonkey 未正确限制javascript: URL 上的拖放操作允许在用户协助下的远程攻击者通过构建的网页进行跨站脚本 (XSS) 攻击此问题与 DragAndDropJacking 问题有关。
CVE-2012-0456 低于 3.6.28 和 4.x 到 10.0[] 的 Mozilla Firefox 、低于 的 Firefox ESR 10.x10.0.3、低于 3.1.20 和 5.0 到 的 Thunderbird、低于 10.0的 Thunderbird ESR 10.x 以及低于 10.0.32.8 的SeaMonkey 中的 SVG 过滤器实现可能允许远程攻击者通过可触发越界读取的矢量从进程内存中获取敏感信息。
低于CVE-2012-04573.6.28 和 4.x 至 10.0的 Mozilla Firefox ESR 10.x 低于 10.0.3的Thunderbird 、低于 3.1.20 和 5.0 至 10.0的 Thunderbird ESR 10.x 中的 nsSMILTimeValueSpec::ConvertBetweenTimeContainer 函数存在释放后使用漏洞之前 10.0.3的以及 2.8 之前的 SeaMonkey 可能允许远程攻击者通过 SVG 动画执行任意代码。
CVE-2012-0458 低于 3.6.28 和 4.x 到 10.0的 Mozilla Firefox、低于 10.0.3] 的 Firefox ESR 10.x 、低于 3.1.20 和 5.010.0到的 Thunderbird、低于 10.0.3的 Thunderbird ESR 10.x 以及低于 2.8 的SeaMonkey 未正确限制通过将 URL 拖动到主页按钮来设置主页其允许受用户协助的远程攻击者通过 javascript:
URL其会稍后在 about:sessionrestore 上下文中进行解释。
CVE-2012-0459 Mozilla Firefox 4.x 至 10.0、低于 [] 的 Firefox ESR 10.x10.0.3、 Thunderbird 5.0 至 10.0、低于 [] 的 Thunderbird ESR 10.x 以及 2.810.0.3之前的 SeaMonkey 中的层叠样式表 (CSS) 实现可让远程攻击者通过动态修改关键帧然后访问该关键帧的 cssText 造成拒绝服务应用程序崩溃或可能执行任意代码。
CVE-2012-0460 Mozilla Firefox 4.x 至 10.0、低于 10.0.3] 的 Firefox ESR 10.x ]、Thunderbird 5.0 至 10.0、低于 10.0.3的 Thunderbird ESR 10.x 以及低于 2.8 的SeaMonkey 未正确限制对 window.fullScreen 对象的写入访问允许远程攻击者通过构建的网页欺骗用户界面。
CVE-2012-0461 低于 3.6.28 和 4.x 至 10.0的 Mozilla Firefox 、低于 [] 的Firefox ESR 10.x 、低于 10.0.3和 [ 3.1.20 至 5.010.0] 的 Thunderbird、低于 10.0.3的Thunderbird ESR 10.x 和 的浏览器引擎中存在多种不明漏洞低于 2.8 的SeaMonkey 允许远程攻击者通过未知矢量造成拒绝服务内存损坏和应用程序崩溃或可能执行任意代码。
CVE-2012-0462 在 Mozilla Firefox 4.x 至 10.0、 之前的 Firefox ESR 10.x10.0.3、 Thunderbird 5.0 至 10.0[]、低于 10.0.3的Thunderbird ESR 10.x 以及 2.8 之前的 SeaMonkey 中浏览器引擎中的多种不明漏洞允许远程攻击者通过未知矢量造成拒绝服务内存损坏和应用程序崩溃或可能执行任意代码。
之前的 Mozilla Firefox 和 3.6.28 到 4.x10.0] 中的浏览器引擎存在释放后使用漏洞、低于 的 Firefox ESR 10.x 、低于 10.0.33.1.20 和 5.0 到 10.0[] 的 Thunderbird 、低于 10.0.3的Thunderbird ESRCVE-2012-046410.x 以及 2.8 之前的 SeaMonkey 允许远程攻击者通过涉及 array.join 函数的空参数的矢量结合垃圾回收的触发来执行任意代码。
重要Firefox 10 不完全后向兼容 Firefox 中的所有 Mozilla 附加组件和 Firefox 插件 3.6。Firefox 10 会在首次启动时检查兼容性并且根据各个配置和安装的附加组件和插件可能会禁用所述附加组件和插件或者尝试检查更新并进行升级。可能需要手动更新附加组件和插件。
Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
更新受影响的 firefox 和/或 xulrunner 程序包。另见
插件详情
严重性: Medium
ID: 284409
文件名: miracle_linux_AXSA-2012-468.nasl
版本: 1.1
类型: local
发布时间: 2026/1/14
最近更新时间: 2026/1/14
支持的传感器: Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 6.7
Vendor
Vendor Severity: High
CVSS v2
风险因素: High
基本分数: 9.3
时间分数: 7.3
矢量: CVSS2#AV:N/AC:M/Au:N/C:C/I:C/A:C
CVSS 分数来源: CVE-2012-0457
CVSS v3
风险因素: Medium
基本分数: 6.1
时间分数: 5.5
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
CVSS 分数来源: CVE-2012-0455
漏洞信息
CPE: p-cpe:/a:miracle:linux:xulrunner, cpe:/o:miracle:linux:3, p-cpe:/a:miracle:linux:firefox
必需的 KB 项: Host/local_checks_enabled, Host/cpu, Host/MiracleLinux/release, Host/MiracleLinux/rpm-list
可利用: true
易利用性: Exploits are available
补丁发布日期: 2012/4/1
漏洞发布日期: 2012/3/13
参考资料信息
CVE: CVE-2012-0451, CVE-2012-0455, CVE-2012-0456, CVE-2012-0457, CVE-2012-0458, CVE-2012-0459, CVE-2012-0460, CVE-2012-0461, CVE-2012-0462, CVE-2012-0464