iracleLinux 4firefox-24.3.0-2.0.1.AXS4、xulrunner-17.0.10-1.0.1.AXS4 (AXSA:2014-019:01)
critical Nessus 插件 ID 289359
语言：
简介
远程iraclelinux 主机缺少一个或多个安全更新。描述
远程iraclelinux 4 主机上存在安装的程序包该程序包受到 AXSA:2014-019:01 公告中提及的多个漏洞的影响。Mozilla Firefox 是一款开源 Web 浏览器专门针对标准合规性、性能和可移植性而设计。
此版本修复的安全问题
CVE-2013-5590 之前的 Mozilla Firefox、 25.0之前的 Firefox ESR 17.x 和 24.x17.0.10 之前的 []、 24.124.1] 之前的 Thunderbird、 之前的 Thunderbird ESR 17.x 以及 17.0.102.22 之前的 SeaMonkey 中的浏览器引擎中的多种不明漏洞允许远程攻击攻击者可通过未知矢量造成拒绝服务内存损坏和应用程序崩溃或可能执行任意代码。
低于CVE-2013-5595 的Mozilla Firefox、低于 25.0的Firefox ESR 17.x17.0.10 和低于 [ 24.1的 [ 24.x 、低于 24.1的 Thunderbird、低于 17.0.10的 Thunderbird ESR 17.x 以及低于 2.22 的SeaMonkey 中的 JavaScript 引擎未为不明函数允许远程攻击者通过构建的网页进行缓冲区溢出攻击。
低于CVE-2013-5597 的 Mozilla Firefox、低于 25.0的 Firefox ESR 17.x17.0.10 和低于 [] 的 [ 24.x 、低于 24.1的 Thunderbird、低于 24.1的Thunderbird ESR 17.x17.0.10和中的 nsDocLoader::doStopDocumentLoad 函数存在释放后使用漏洞低于 2.22 的 SeaMonkey 允许远程攻击者在离线缓存更新期间通过涉及状态更改事件的矢量执行任意代码或造成拒绝服务堆内存损坏。
CVE-2013-5599 低于 25.0的 Mozilla Firefox、低于 17.0.10 和 的 Firefox ESR 17.x 、低于 24.x24.1的 Thunderbird 中PresShell即演示 shell实现的 nsIPresShell::GetPresContext 函数中存在释放后使用漏洞 24.1低于 17.0.10的 Thunderbird ESR 17.x 和低于 2.22 的 SeaMonkey 可让远程攻击者通过涉及 CANVAS 元素、mozTextStyle 属性和 onresize 事件的矢量执行任意代码或造成拒绝服务堆内存损坏和应用程序崩溃。
CVE-2013-5600 之前的 25.0的 Mozilla Firefox、 17.0.10 之前的 Firefox ESR 17.x 和 之前的 24.1、 [ 24.x 之前的 Thunderbird、 24.1之前的 Thunderbird ESR 17.x17.0.10和中的 nsIOService::NewChannelFromURIWithProxyFlags 函数中存在释放后使用漏洞低于 2.22 的SeaMonkey 允许远程攻击者通过涉及 blob: URL 的矢量执行任意代码。
低于CVE-2013-5601 的 Mozilla Firefox、低于 25.0的 Firefox ESR 17.x 和低于 [ 17.0.10 的 24.1[]、低于 24.x 的Thunderbird、低于 24.1的Thunderbird ESR 17.x17.0.10和中的 nsEventListenerManager::SetEventHandler 函数存在释放后使用漏洞低于 2.22 的SeaMonkey 允许远程攻击者通过与垃圾回收 (GC) API 中的内存分配相关的矢量执行任意代码。
CVE-2013-5602 低于 25.0的 Mozilla Firefox、低于 17.0.10 的Firefox ESR 17.x 和低于 24.x24.1] 的Thunderbird、低于 [] 的 Thunderbird、低于 24.1的Thunderbird ESR 17.x17.0.10以及低于 的 SeaMonkey 中Web 工作线程实现内的 Worker::SetEventListener 函数 2.22 允许远程攻击者通过与直接代理有关的矢量执行任意代码或造成拒绝服务内存损坏。
CVE-2013-5604 之前 25.0之前的 Mozilla Firefox、 17.0.10 之前的 Firefox ESR 17.x 和 24.x 之前的 24.1、 [] 之前的 Thunderbird、 24.1之前的 Thunderbird ESR 17.x 以及 17.0.10之前的 SeaMonkey 中 XSLT 处理器的 txXPathNodeUtils::getBaseURI 2.22 函数]未正确初始化数据远程攻击者可利用此缺陷通过构建的文档执行任意代码或造成拒绝服务基于堆栈的缓冲区溢出和应用程序崩溃。
CVE-2013-5609 之前的 26.0之前的 Mozilla Firefox、 24.2之前的 Firefox ESR 24.x 、 24.2之前的 Thunderbird 以及 2.23 之前的 SeaMonkey 的浏览器引擎中存在多种不明漏洞允许远程攻击者造成拒绝服务内存损坏和应用程序崩溃或 可能通过未知矢量执行任意代码。
低于 26.0 的 Mozilla Firefox 和低于 2.23 的SeaMonkey 中的CVE-2013-5612 跨站脚本 (XSS) 漏洞使远程攻击者更容易通过利用由文件中缺少字符集参数触发的同源策略违反来注入任意 Web 脚本或 HTML。 Content-Type HTTP 标头。
在低于CVE-2013-5613 的 Mozilla Firefox、低于 26.0的Firefox ESR 24.x24.2、低于 24.2[] 的 Thunderbird 以及低于 的 SeaMonkey 中存在 2.23 允许远程攻击者执行任意代码或造成通过涉及合成鼠标移动的矢量造成拒绝服务堆内存损坏这与 RestyleManager::GetHoverGeneration 函数相关。
CVE-2013-5614 低于 26.0 的 Mozilla Firefox 以及低于 2.23 的SeaMonkey 未在处理包含的 OBJECT 元素期间正确考虑 IFRAME 元素的沙盒属性从而允许远程攻击者通过构建的网站绕过预期沙盒限制。
CVE-2013-5616 之前的 Mozilla Firefox、 24.x26.0之前的 Firefox ESR 24.2、 24.2之前的 Thunderbird 以及 2.23 之前的 SeaMonkey 中的 nsEventListenerManager::HandleEventSubType 函数存在释放后使用漏洞允许远程攻击者执行任意代码或造成通过与 mListeners 事件监听器相关的矢量造成的拒绝服务堆内存损坏。
CVE-2013-5618 在低于 26.0的 Mozilla Firefox、低于 [] 的 Firefox ESR 24.x24.2、低于 24.2[] 的 Thunderbird 以及低于 2.23 的SeaMonkey 中编辑器组件的表编辑用户界面的 nsNodeUtils::LastRelease 函数中存在释放后使用漏洞允许远程攻击者通过触发不正确的垃圾回收来执行任意代码。
CVE-2013-6671 之前的 26.0之前的 Mozilla Firefox、低于 24.2的 Firefox ESR 24.x ] 、 24.2之前的 Thunderbird 以及 2.23 之前的 SeaMonkey 中的 nsGfxScrollFrameInner::IsLTR 函数允许远程攻击者通过为有序列表元素构建的 JavaScript 代码来执行任意代码。
CVE-2014-1477 之前的 27.0之前的 Mozilla Firefox、 24.3之前的 Firefox ESR 24.x 、 24.3之前的 Thunderbird 以及 2.24 之前的 SeaMonkey 的浏览器引擎中存在多种不明漏洞允许远程攻击者造成拒绝服务内存损坏和应用程序崩溃或 可能通过未知矢量执行任意代码。
CVE-2014-1479 低于 27.0的 Mozilla Firefox、低于 24.3的 Firefox ESR 24.x ]、低于 24.3的Thunderbird 以及低于 2.24 的 SeaMonkey 中的系统仅封装程序 (SOW) 实现未阻止某些克隆操作这允许远程攻击者绕过预期限制通过涉及 XBL 内容范围的矢量对 XUL 内容执行 。
CVE-2014-1481 低于 27.0的 Mozilla Firefox、低于 24.3的 Firefox ESR 24.x 、低于 24.3的Thunderbird 以及低于 2.24 的 SeaMonkey 允许远程攻击者利用不同 JavaScript 引擎中本机 getter 方法的不一致性绕过预期的 Window 对象限制。
低于 27.0的 Mozilla Firefox、低于 [] 的Firefox ESR 24.x24.3、低于 24.3的Thunderbird 以及低于 [] 的 SeaMonkey 中的CVE-2014-14822.24 RasterImage.cpp 未阻止访问丢弃的数据从而允许远程攻击者执行任意代码或造成拒绝会通过特制的图像数据造成服务不正确的写入操作这一点已由 Goo Create 证实。
CVE-2014-1486 之前的 27.0之前的 Mozilla Firefox、 之前的 Firefox ESR 24.x24.3、 24.3之前的 Thunderbird 以及 2.24 之前的 SeaMonkey 中的 imgRequestProxy 函数中存在释放后使用漏洞允许远程攻击者通过矢量执行任意代码涉及不明 Content-键入图像数据的值。
CVE-2014-1487 之前的 27.0版的 Mozilla Firefox、 24.3版之前的 Firefox ESR 24.x 版、 24.3版之前的 Thunderbird 以及 2.24 版之前的 SeaMonkey 中的 Web 工作线程实现允许远程攻击者绕过同源策略并通过涉及错误消息的矢量取得敏感的认证信息。
修复的缺陷：
修复了访问 Red Hat Enterprise Virtualization 管理门户时的分段错误。
Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
更新受影响的 firefox 和/或 xulrunner 程序包。另见
插件详情
严重性: Critical
ID: 289359
文件名: miracle_linux_AXSA-2014-019.nasl
版本: 1.1
类型: local
发布时间: 2026/1/16
最近更新时间: 2026/1/16
支持的传感器: Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 6.7
Vendor
Vendor Severity: High
CVSS v2
风险因素: Critical
基本分数: 10
时间分数: 7.8
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS 分数来源: CVE-2014-1486
CVSS v3
风险因素: Critical
基本分数: 9.8
时间分数: 8.8
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
漏洞信息
CPE: p-cpe:/a:miracle:linux:firefox, p-cpe:/a:miracle:linux:xulrunner, cpe:/o:miracle:linux:4
必需的 KB 项: Host/local_checks_enabled, Host/cpu, Host/MiracleLinux/release, Host/MiracleLinux/rpm-list
可利用: true
易利用性: Exploits are available
补丁发布日期: 2014/3/18
漏洞发布日期: 2013/10/29
参考资料信息
CVE: CVE-2013-5590, CVE-2013-5595, CVE-2013-5597, CVE-2013-5599, CVE-2013-5600, CVE-2013-5601, CVE-2013-5602, CVE-2013-5604, CVE-2013-5609, CVE-2013-5612, CVE-2013-5613, CVE-2013-5614, CVE-2013-5616, CVE-2013-5618, CVE-2013-6671, CVE-2014-1477, CVE-2014-1479, CVE-2014-1481, CVE-2014-1482, CVE-2014-1486