Amazon Linux 2：firefox，--advisory ALAS2FIREFOX-2026-063 (ALASFIREFOX-2026-063)
medium Nessus 插件 ID 337223
语言：
简介
远程 Amazon Linux 2 主机缺少安全更新。描述
远程主机上安装的 Firefox 版本低于 140.13.0-1。因此，该软件受到 ALAS2FIREFOX-2026-063 公告中提及的多个漏洞影响。DOM： Navigation 组件中的同源策略绕过。在 Firefox 153、Firefox ESR 115.38和 Firefox ESR 140.13中已修复此漏洞。（CVE-2026-16349）
Audio/Video： cubeb 组件中的边界条件不正确。在 Firefox 153、Firefox ESR 115.38和 Firefox ESR 140.13中已修复此漏洞。（CVE-2026-16350）
由于 DOM： Navigation 组件中的释放后使用而造成沙盒逃逸。在 Firefox 153、Firefox ESR 115.38和 Firefox ESR 140.13中已修复此漏洞。（CVE-2026-16351）
由于 Disability Access API 组件中的释放后使用而导致沙盒逃逸。在 Firefox 153、Firefox ESR 115.38和 Firefox ESR 140.13中已修复此漏洞。（CVE-2026-16352）
DOM： Bindings （WebIDL） 组件中的指针无效。在 Firefox 153、Firefox ESR 115.38和 Firefox ESR 140.13中已修复此漏洞。（CVE-2026-16353）
Graphics： ImageLib 组件中的信息泄露。在 Firefox 153、Firefox ESR 115.38和 Firefox ESR 140.13中已修复此漏洞。（CVE-2026-16354）
JavaScript Engine: JIT 组件中存在 JIT 编译错误。在 Firefox 153、Firefox ESR 115.38和 Firefox ESR 140.13中已修复此漏洞。（CVE-2026-16355）
由于 Disability Access API 组件中的释放后使用而导致沙盒逃逸。在 Firefox 153、Firefox ESR 115.38和 Firefox ESR 140.13中已修复此漏洞。（CVE-2026-16356）
Graphics 组件中的边界条件不正确。在 Firefox 153、Firefox ESR 115.38和 Firefox ESR 140.13中已修复此漏洞。（CVE-2026-16357）
Graphics： WebRender 组件中的站点隔离问题。在 Firefox 153、Firefox ESR 115.38和 Firefox ESR 140.13中已修复此漏洞。（CVE-2026-16358）
Audio/Video: GMP 组件中的边界条件不正确。在 Firefox 153、Firefox ESR 115.38和 Firefox ESR 140.13中已修复此漏洞。（CVE-2026-16359）
Firefox ESR 115.37、Firefox ESR 140.12 和 Firefox 152 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测如果攻击者进行足够的尝试，则可以利用此漏洞运行任意代码。在 Firefox 153、Firefox ESR 115.38和 Firefox ESR 140.13中已修复此漏洞。（CVE-2026-16360）
Firefox ESR 115.37 和 Firefox ESR 140.12中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测如果攻击者进行足够的尝试，则可以利用此漏洞运行任意代码。Firefox ESR 115.38 和 Firefox ESR 140.13中已修复此漏洞。（CVE-2026-16361）
WebRTC 中的释放后使用：音频/视频组件。在 Firefox 153 和 Firefox ESR 140.13中已修复此漏洞。（CVE-2026-16362）
JavaScript： WebAssembly 组件中的 JIT 错误编译。在 Firefox 153 和 Firefox ESR 140.13中已修复此漏洞。（CVE-2026-16363）
JavaScript 中的错误边界条件：WebAssembly 组件。在 Firefox 153 和 Firefox ESR 140.13中已修复此漏洞。（CVE-2026-16368）
JavaScript： WebAssembly 组件中的整数溢出。在 Firefox 153 和 Firefox ESR 140.13中已修复此漏洞。（CVE-2026-16369）
DOM： Navigation 组件中的权限升级。在 Firefox 153 和 Firefox ESR 140.13中已修复此漏洞。（CVE-2026-16371）
DevTools 的 Framework 组件中存在信息泄露。在 Firefox 153 和 Firefox ESR 140.13中已修复此漏洞。（CVE-2026-16374）
Networking： HTTP 组件中的站点隔离问题。在 Firefox 153 和 Firefox ESR 140.13中已修复此漏洞。（CVE-2026-16375）
PDF 查看器组件中的缓解措施绕过。在 Firefox 153 和 Firefox ESR 140.13中已修复此漏洞。（CVE-2026-16377）
DOM： Content Processes 组件中的权限升级。在 Firefox 153 和 Firefox ESR 140.13中已修复此漏洞。（CVE-2026-16379）
Networking： DNS 组件中的同源策略绕过。在 Firefox 153 和 Firefox ESR 140.13中已修复此漏洞。（CVE-2026-16381）
DOM： Networking 组件中的缓解措施绕过。在 Firefox 153 和 Firefox ESR 140.13中已修复此漏洞。（CVE-2026-16383）
Networking 组件中的站点隔离问题。在 Firefox 153 和 Firefox ESR 140.13中已修复此漏洞。（CVE-2026-16387）
Enterprise Policies 组件中的缓解措施绕过。在 Firefox 153 和 Firefox ESR 140.13中已修复此漏洞。（CVE-2026-16390）
Storage： IndexedDB 组件中的信息泄露。在 Firefox 153 和 Firefox ESR 140.13中已修复此漏洞。（CVE-2026-16391）
WebExtensions 中的权限升级。在 Firefox 153 和 Firefox ESR 140.13中已修复此漏洞。
(CVE-2026-16396)
Networking： WebSockets 组件中的信息泄露。在 Firefox 153 和 Firefox ESR 140.13中已修复此漏洞。（CVE-2026-16405）
Firefox ESR 140.12 和 Firefox 152 中存在内存安全缺陷。其中某些错误展示出内存损坏迹象，我们推测如果攻击者进行足够的尝试，则可以利用此漏洞运行任意代码。在 Firefox 153 和 Firefox ESR 140.13中已修复此漏洞。（CVE-2026-16412）
在 ggml-org llama.cpp e15efe0 中发现一个缺陷。此漏洞会影响组件 JSON-Schema-to-GBNF Conversion 的 common/json-schema-to-grammar.cpp 文件的函数转换。此操作造成资源分配。攻击可从远程发起。修复此问题的 pull 请求等待接受。（CVE-2026-17501）
Tenable 已直接从测试产品的安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
运行“yum update firefox”或“yum update --advisory ALAS2FIREFOX-2026-063”以更新系统。另见
https://alas.aws.amazon.com//AL2/ALAS2FIREFOX-2026-063.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2026-16349.html
https://explore.alas.aws.amazon.com/CVE-2026-16350.html
https://explore.alas.aws.amazon.com/CVE-2026-16351.html
https://explore.alas.aws.amazon.com/CVE-2026-16352.html
https://explore.alas.aws.amazon.com/CVE-2026-16353.html
https://explore.alas.aws.amazon.com/CVE-2026-16354.html
https://explore.alas.aws.amazon.com/CVE-2026-16355.html
https://explore.alas.aws.amazon.com/CVE-2026-16356.html
https://explore.alas.aws.amazon.com/CVE-2026-16357.html
https://explore.alas.aws.amazon.com/CVE-2026-16358.html
https://explore.alas.aws.amazon.com/CVE-2026-16359.html
https://explore.alas.aws.amazon.com/CVE-2026-16360.html
https://explore.alas.aws.amazon.com/CVE-2026-16361.html
https://explore.alas.aws.amazon.com/CVE-2026-16362.html
https://explore.alas.aws.amazon.com/CVE-2026-16363.html
https://explore.alas.aws.amazon.com/CVE-2026-16368.html
https://explore.alas.aws.amazon.com/CVE-2026-16369.html
https://explore.alas.aws.amazon.com/CVE-2026-16371.html
https://explore.alas.aws.amazon.com/CVE-2026-16374.html
https://explore.alas.aws.amazon.com/CVE-2026-16375.html
https://explore.alas.aws.amazon.com/CVE-2026-16377.html
https://explore.alas.aws.amazon.com/CVE-2026-16379.html
https://explore.alas.aws.amazon.com/CVE-2026-16381.html
https://explore.alas.aws.amazon.com/CVE-2026-16383.html
https://explore.alas.aws.amazon.com/CVE-2026-16387.html
https://explore.alas.aws.amazon.com/CVE-2026-16390.html
https://explore.alas.aws.amazon.com/CVE-2026-16391.html
https://explore.alas.aws.amazon.com/CVE-2026-16396.html
https://explore.alas.aws.amazon.com/CVE-2026-16405.html
插件详情
严重性: Medium
ID: 337223
文件名: al2_ALASFIREFOX-2026-063.nasl
版本: 1.1
类型: Local
代理: unix
发布时间: 2026/8/18
最近更新时间: 2026/8/18
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: Medium
分数: 6.9
百分位: 96.82
CVSS v2
风险因素: Medium
基本分数: 5
时间分数: 3.7
矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:P
CVSS 分数来源: CVE-2026-17501
CVSS v3
风险因素: Critical
基本分数: 9.8
时间分数: 8.5
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
CVSS 分数来源: CVE-2026-16412
CVSS v4
风险因素: Medium
Base Score: 6.9
Threat Score: 2.7
Threat Vector: CVSS:4.0/E:U
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N
漏洞信息
CPE: cpe:/o:amazon:linux:2, p-cpe:/a:amazon:linux:firefox
必需的 KB 项: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
易利用性: No known exploits are available
补丁发布日期: 2026/8/17
漏洞发布日期: 2026/7/21
参考资料信息
CVE: CVE-2026-16349, CVE-2026-16350, CVE-2026-16351, CVE-2026-16352, CVE-2026-16353, CVE-2026-16354, CVE-2026-16355, CVE-2026-16356, CVE-2026-16357, CVE-2026-16358, CVE-2026-16359, CVE-2026-16360, CVE-2026-16361, CVE-2026-16362, CVE-2026-16363, CVE-2026-16368, CVE-2026-16369, CVE-2026-16371, CVE-2026-16374, CVE-2026-16375, CVE-2026-16377, CVE-2026-16379, CVE-2026-16381, CVE-2026-16383, CVE-2026-16387, CVE-2026-16390, CVE-2026-16391, CVE-2026-16396, CVE-2026-16405, CVE-2026-16412, CVE-2026-17501
IAVA: 2026-A-0755