安装的 Thunderbird 3.1.x 版本可能受到以下安全问题的影响：
- 多种内存损坏问题。通过诱骗用户访问特别构建的页面，这些问题可能会允许攻击者在受影响的应用程序的上下文中执行任意代码。（CVE-2012-0457、CVE-2012-0461、CVE-2012-0462、CVE-2012-0463、CVE-2012-0464）

- 存在可被攻击者利用的安全绕过漏洞，前提是可诱骗受害者通过将特别构建的链接拖动到“主页”按钮 URL 来设置新的主页，此操作会将用户的主页设置为“javascript:”URL。(CVE-2012-0458)

- 由于 SVG 过滤器中的越界读取，存在信息泄露漏洞。(CVE-2012-0456)

- 存在可通过将“javascript:”链接拖放到框架上来触发的跨站脚本漏洞。(CVE-2012-0455)

安装的 Firefox 10.0.x 版本可能受到以下安全问题的影响：

- 多种内存损坏问题。通过诱骗用户访问特别构建的页面，这些问题可能会允许攻击者在受影响的应用程序的上下文中执行任意代码。（CVE-2012-0454、CVE-2012-0457、CVE-2012-0459、CVE-2012-0461、CVE-2012-0462、CVE-2012-0463、CVE-2012-0464）

- 存在 HTTP 标头安全绕过漏洞，攻击者可利用此漏洞绕过某些安全限制并进行跨站脚本攻击。(CVE-2012-0451)。

- 存在可被攻击者利用的安全绕过漏洞，前提是可诱骗受害者通过将特别构建的链接拖动到“主页”按钮 URL 来设置新的主页，此操作会将用户的主页设置为“javascript:”URL。(CVE-2012-0458)

- 由于 SVG 过滤器中的越界读取，存在信息泄露漏洞。(CVE-2012-0456)

- 存在可通过将“javascript:”链接拖放到框架上来触发的跨站脚本漏洞。(CVE-2012-0455)

-“window.fullScreen”可被不受信任的内容写入，从而允许攻击者执行 UI 欺骗攻击。(CVE-2012-0460)

已安装的 SeaMonkey 版本低于 2.8.0。这些版本可能受到以下安全问题的影响：
 
 - 多种内存损坏问题。通过诱骗用户访问特别构建的页面，这些问题可能会允许攻击者在受影响的应用程序的上下文中执行任意代码。（CVE-2012-0454、CVE-2012-0457、CVE-2012-0459、CVE-2012-0461、CVE-2012-0462、CVE-2012-0463、CVE-2012-0464）

- HTTP 标头安全绕过漏洞，攻击者可利用此漏洞绕过某些安全限制并进行跨站脚本攻击。(CVE-2012-0451)。

- 存在可被攻击者利用的安全绕过漏洞，前提是可诱骗受害者通过将特别构建的链接拖动到“主页”按钮 URL 来设置新的主页，此操作会将用户的主页设置为“javascript:”URL。(CVE-2012-0458)

- SVG 过滤器中的越界读取所造成的信息泄露漏洞。(CVE-2012-0456)

- 可通过将“javascript:”链接拖放到框架上来触发的跨站脚本漏洞。(CVE-2012-0455)

-“window.fullScreen”可被不受信任的内容写入，从而允许攻击者执行 UI 欺骗攻击。(CVE-2012-0460)

安装的 Thunderbird 10.0.x 版本可能受到以下安全问题的影响：
- 多种内存损坏问题。通过诱骗用户访问特别构建的页面，这些问题可能会允许攻击者在受影响的应用程序的上下文中执行任意代码。（CVE-2012-0454、CVE-2012-0457、CVE-2012-0459、CVE-2012-0461、CVE-2012-0462、CVE-2012-0463、CVE-2012-0464）

- 存在 HTTP 标头安全绕过漏洞，攻击者可利用此漏洞绕过某些安全限制并进行跨站脚本攻击。(CVE-2012-0451)。

- 存在可被攻击者利用的安全绕过漏洞，前提是可诱骗受害者通过将特别构建的链接拖动到“主页”按钮 URL 来设置新的主页，此操作会将用户的主页设置为“javascript:”URL。(CVE-2012-0458)

- 由于 SVG 过滤器中的越界读取，存在信息泄露漏洞。(CVE-2012-0456)

- 存在可通过将“javascript:”链接拖放到框架上来触发的跨站脚本漏洞。(CVE-2012-0455)

-“window.fullScreen”可被不受信任的内容写入，从而允许攻击者执行 UI 欺骗攻击。(CVE-2012-0460)

Mozilla 项目报告：

MFSA 2012-13 通过拖放和 Javascript: URL 造成的 XSS

MFSA 2012-14 通过地址审查器发现的 SVG 问题

MFSA 2012-15 通过多种内容安全策略标头造成的 XSS

MFSA 2012-16 通过 Javascript: URL 即主页造成的权限升级

MFSA 2012-17 动态修改之后访问 keyframe cssText 时发生的崩溃

MFSA 2012-18 window.fullScreen 可被不受信任的内容写入

MFSA 2012-19 多项内存安全危害 (rv:11.0/ rv:10.0.3 / rv:1.9.2.28)

MozillaThunderbird 中的更改：

- 更新到 Thunderbird 11.0 (bnc#750044)

- MFSA 2012-13/CVE-2012-0455 (bmo#704354) 拖放和 Javascript: URL 的 XSS

- MFSA 2012-14/CVE-2012-0456/CVE-2012-0457（bmo#711653、#720103—— 在地址审查器中发现 SVG 问题

- MFSA 2012-15/CVE-2012-0451 (bmo#717511) 具有多个内容安全策略标头的 XSS

- MFSA 2012-16/CVE-2012-0458 通过将 Javascript: URL 设置为主页升级权限

- MFSA 2012-17/CVE-2012-0459 (bmo#723446) 动态修改后访问关键帧 cssText 时崩溃

- MFSA 2012-18/CVE-2012-0460 (bmo#727303) window.fullScreen 可被不受信任的内容写入

- MFSA 2012-19/CVE-2012-0461/CVE-2012-0462/CVE-2012-0464/ CVE-2012-0463 多项内存安全危害

xulrunner192 中的更改：

- 安全更新到 1.9.2.28 (bnc#750044)

- MFSA 2011-55/CVE-2011-3658 (bmo#708186) nsSVGValue 越界访问

- MFSA 2012-13/CVE-2012-0455 (bmo#704354) 拖放和 Javascript: URL 的 XSS

- MFSA 2012-14/CVE-2012-0456/CVE-2012-0457（bmo#711653、#720103—— 在地址审查器中发现 SVG 问题

- MFSA 2012-16/CVE-2012-0458 通过将 Javascript: URL 设置为主页升级权限

- MFSA 2012-19/CVE-2012-0461/CVE-2012-0462/CVE-2012-0464/ CVE-2012-0463 多项内存安全危害

MozillaFirefox 中的更改：

- 更新到 Firefox 11.0 (bnc#750044)

- MFSA 2012-13/CVE-2012-0455 (bmo#704354) 拖放和 Javascript: URL 的 XSS

- MFSA 2012-14/CVE-2012-0456/CVE-2012-0457（bmo#711653、#720103—— 在地址审查器中发现 SVG 问题

- MFSA 2012-15/CVE-2012-0451 (bmo#717511) 具有多个内容安全策略标头的 XSS

- MFSA 2012-16/CVE-2012-0458 通过将 Javascript: URL 设置为主页升级权限

- MFSA 2012-17/CVE-2012-0459 (bmo#723446) 动态修改后访问关键帧 cssText 时崩溃

- MFSA 2012-18/CVE-2012-0460 (bmo#727303) window.fullScreen 可被不受信任的内容写入

- MFSA 2012-19/CVE-2012-0461/CVE-2012-0462/CVE-2012-0464/ CVE-2012-0463 多项内存安全危害

seamonkey 中的更改：

- 更新到 SeaMonkey 2.8 (bnc#750044)

- MFSA 2012-13/CVE-2012-0455 (bmo#704354) 拖放和 Javascript: URL 的 XSS

- MFSA 2012-14/CVE-2012-0456/CVE-2012-0457（bmo#711653、#720103—— 在地址审查器中发现 SVG 问题

- MFSA 2012-15/CVE-2012-0451 (bmo#717511) 具有多个内容安全策略标头的 XSS

- MFSA 2012-16/CVE-2012-0458 通过将 Javascript: URL 设置为主页升级权限

- MFSA 2012-17/CVE-2012-0459 (bmo#723446) 动态修改后访问关键帧 cssText 时崩溃

- MFSA 2012-18/CVE-2012-0460 (bmo#727303) window.fullScreen 可被不受信任的内容写入

- MFSA 2012-19/CVE-2012-0461/CVE-2012-0462/CVE-2012-0464/ CVE-2012-0463 多项内存安全危害

chmsee 中的变更：

- 更新到版本 1.99.08

mozilla-nss 中的更改：

- 更新到 3.13.3 RTM

- 不信任 Trustwave 的 MITM 证书 (bmo#724929)

- 修复通用黑名单机制 (bmo#727204)

mozilla-nspr 中的更改：

- 更新到版本 4.9 RTM

安装的 Firefox 3.6.x 版本可能受到以下安全问题的影响：

- 多种内存损坏问题。通过诱骗用户访问特别构建的页面，这些问题可能会允许攻击者在受影响的应用程序的上下文中执行任意代码。（CVE-2012-0457、CVE-2012-0461、CVE-2012-0463、CVE-2012-0464）

- 存在可被攻击者利用的安全绕过漏洞，前提是可诱骗受害者通过将特别构建的链接拖动到“主页”按钮 URL 来设置新的主页，此操作会将用户的主页设置为“javascript:”URL。(CVE-2012-0458)

- 由于 SVG 过滤器中的越界读取，存在信息泄露漏洞。(CVE-2012-0456)

- 存在可通过将“javascript:”链接拖放到框架上来触发的跨站脚本漏洞。(CVE-2012-0455)

Mozilla Firefox 已更新到 10.0.3 ESR，修复了各种缺陷和安全问题。

修复了以下安全问题：

- Mozilla 开发人员已发现并修复 Firefox 和其他基于 Mozilla 的产品中使用的浏览器引擎的多个内存安全缺陷。这些缺陷中的一部分在特定情况下可导致内存损坏，我们推测只要通过足够的手段，至少能利用其中部分缺陷来运行任意代码。(MFSA 2012-19)

一般情况下，因为脚本已禁用，所以这些缺陷在 Thunderbird 和 SeaMonkey 产品中无法通过电子邮件被利用，但在上述产品的浏览器或类似浏览器的上下文中仍存在潜在风险。

参考：

Bob Clary 报告了两个造成崩溃的缺陷，这些缺陷影响 Firefox 3.6、Firefox ESR 和 Firefox 10。
 (CVE-2012-0461)

Christian Holler、Jesse Ruderman、Nils、Michael Bebenita、Dindog 和 David Anderson 报告了影响 Firefox ESR 和 Firefox 10 的内存安全问题和崩溃。(CVE-2012-0462)

Jeff Walden 报告了 array.join 函数中的一个内存安全问题。Vincenzo Iozzo 通过 TippingPoint 零日计划 Pwn2Own 竞赛独立报告了此缺陷。(CVE-2012-0464)

Masayuki Nakano 报告了一个影响 Mobile Firefox 的内存安全问题。

- CVE-2012-0463

- Mozilla 开发人员 Matt Brubeck 报告，启用 DOM 全屏 API 时，window.fullScreen 可被不受信任的内容写入。由于 window.fullScreen 不包括 mozRequestFullscreen 的安全保护，它可被用于 UI 欺骗。此代码更改使 window.fullScreen 仅由不受信任的内容读取，从而在正常使用中强制使用 DOM 全屏 API。(MFSA 2012-18 / CVE-2012-0460)

Firefox 3.6 和 Thunderbird 3.1 不受此漏洞的影响。

- Mozilla 社区成员、Disruptive Innovations 的 Daniel Glazman 报告了在动态修改后访问关键帧的 cssText 时的崩溃。此崩溃可能被利用。(MFSA 2012-17 / CVE-2012-0459)

Firefox 3.6 和 Thunderbird 3.1 不受此漏洞的影响。

- 安全研究人员 Mariusz Mlynski 报告，能够诱使潜在受害者通过触发指向“主页”按钮的链接来设置新的主页的攻击者可将该用户的主页设置为 javascript: URL。完成此操作后，该攻击者的页面可以导致浏览器反复崩溃，最终在特权 about:sessionrestore 上下文中加载该脚本 URL。(MFSA 2012-16 / CVE-2012-0458)

- Sitewatch 的安全研究人员 Mike Brooks 报告，如果页面上存在多个内容安全策略 (CSP) 标头，则它们具有累加效应页面策略。通过使用回车换行 (CRLF) 注入，可引入新的 CSP 规则，该规则允许在包含单独标头注入漏洞的站点上执行跨站脚本 (XSS)。(MFSA 2012-15 / CVE-2012-0451)

Firefox 3.6 和 Thunderbird 3.1 不受此漏洞的影响。

- OUSPG 的安全研究人员 Atte Kettunen 使用地址审查器工具发现了 Firefox 对 SVG 的处理中的两个问题。第一个问题的评级为危急，是 SVG 动画中的释放后使用，可能导致任意代码执行。第二个问题的评级为中危，是 SVG 过滤器中的越界读取问题。这可能包含来自用户内存的数据，从而使页面内容可以访问这些数据。(MFSA 2012-14 / CVE-2012-0457 / CVE-2012-0456)

- Firefox 阻止将 javascript: 链接放置到框架上，以防止恶意站点诱骗用户对自己执行跨站脚本 (XSS) 攻击。安全研究人员 Soroush Dalili 报告了一种绕过此保护的方法。(MFSA 2012-13 / CVE-2012-0455)

- Security Assessment 的安全研究人员 Blair Strang 和 Scott Bell 发现，当父窗口生成并关闭使用文件打开对话框的子窗口时，可在 32 位 Windows 7 系统上的 shlwapi.dll 中引发崩溃。此崩溃可能被利用。(MFSA 2012-12 / CVE-2012-0454)

Firefox 3.6 和 Thunderbird 3.1 不受此漏洞的影响。

- 重做 KDE4 集成。(bnc#745017)

已安装的 Firefox 版本低于 10.0.3，因此可能受到以下安全问题的影响：
 
 - 多个内存损坏问题。通过诱骗用户访问特别构建的页面，这些问题可能会允许攻击者在受影响的应用程序的上下文中执行任意代码。（CVE-2012-0454、CVE-2012-0457、CVE-2012-0459、CVE-2012-0461、CVE-2012-0462、CVE-2012-0463、CVE-2012-0464）

- 存在 HTTP 标头安全绕过漏洞，攻击者可利用此漏洞绕过某些安全限制并进行跨站脚本攻击。(CVE-2012-0451)。

- 存在可被攻击者利用的安全绕过漏洞，前提是可诱骗受害者通过将特别构建的链接拖动到“主页”按钮 URL 来设置新的主页，此操作会将用户的主页设置为“javascript:”URL。(CVE-2012-0458)

- 由于 SVG 过滤器中的越界读取，存在信息泄露漏洞。(CVE-2012-0456)

- 存在可通过将“javascript:”链接拖放到框架上来触发的跨站脚本漏洞。(CVE-2012-0455)

-“window.fullScreen”可被不受信任的内容写入，从而允许攻击者执行 UI 欺骗攻击。(CVE-2012-0460)

Mozilla Firefox 已更新到 3.6.28，修复了多种缺陷和安全问题。

修复了以下安全问题：

- Mozilla 开发人员已发现并修复 Firefox 和其他基于 Mozilla 的产品中使用的浏览器引擎的多个内存安全缺陷。这些缺陷中的一部分在特定情况下可导致内存损坏，我们推测只要通过足够的手段，至少能利用其中部分缺陷来运行任意代码。(MFSA 2012-19)

一般情况下，因为脚本已禁用，所以这些缺陷在 Thunderbird 和 SeaMonkey 产品中无法通过电子邮件被利用，但在上述产品的浏览器或类似浏览器的上下文中仍存在潜在风险。
 引用

Bob Clary 报告了两个造成崩溃的缺陷，这些缺陷影响 Firefox 3.6、Firefox ESR 和 Firefox 10。
 (CVE-2012-0461)

Christian Holler、Jesse Ruderman、Nils、Michael Bebenita、Dindog 和 David Anderson 报告了影响 Firefox ESR 和 Firefox 10 的内存安全问题和崩溃。(CVE-2012-0462)

Jeff Walden 报告了 array.join 函数中的一个内存安全问题。Vincenzo Iozzo 通过 TippingPoint 零日计划 Pwn2Own 竞赛独立报告了此缺陷。(CVE-2012-0464)

Masayuki Nakano 报告了影响 Mobile Firefox 10 的内存安全问题。(CVE-2012-0463)

- 安全研究人员 Mariusz Mlynski 报告，能够诱使潜在受害者通过触发指向“主页”按钮的链接来设置新的主页的攻击者可将该用户的主页设置为 javascript: URL。完成此操作后，该攻击者的页面可以导致浏览器反复崩溃，最终在特权 about:sessionrestore 上下文中加载该脚本 URL。(MFSA 2012-16 / CVE-2012-0458)

- OUSPG 的安全研究人员 Atte Kettunen 使用地址审查器工具发现了 Firefox 对 SVG 的处理中的两个问题。第一个问题的评级为危急，是 SVG 动画中的释放后使用，可能导致任意代码执行。第二个问题的评级为中危，是 SVG 过滤器中的越界读取问题。这可能包含来自用户内存的数据，从而使页面内容可以访问这些数据。(MFSA 2012-14 / CVE-2012-0457 / CVE-2012-0456)

- Firefox 阻止将 javascript: 链接放置到框架上，以防止恶意站点诱骗用户对自己执行跨站脚本 (XSS) 攻击。安全研究人员 Soroush Dalili 报告了一种绕过此保护的方法。(MFSA 2012-13 / CVE-2012-0455)

完整的概述请参阅 Mozillas 安全页面：
http://www.mozilla.org/security/announce/

远程主机受到 GLSA-201301-01 中所述漏洞的影响（Mozilla 产品：多种漏洞）

在 Mozilla Firefox、Thunderbird、SeaMonkey、NSS、GNU IceCat 和 XULRunner 中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

远程攻击者可引诱用户查看特别构建的网页或电子邮件，这可能导致执行任意代码或拒绝服务的情况。此外，远程攻击者可能可以执行中间人攻击、获取敏感信息、绕过限制和保护机制、强制文件下载，进行 XML 注入攻击、进行 XSS 攻击、绕过同源策略、欺骗 URL 进行钓鱼攻击、触发垂直滚动、欺骗位置栏、欺骗 SSL 标识符、修改浏览器的字体、进行点击劫持攻击或者造成其他不明影响。
 本地攻击者可获得经提升的权限、获取敏感信息或替换任意已下载的文件。
 变通方案：

目前无任何已知的变通方案。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
58356	Thunderbird 3.1.x < 3.1.20 多种漏洞 (Mac OS X)	Nessus	MacOS X Local Security Checks	2012/3/15	2018/7/14	high
58348	Firefox 10.0.x < 10.0.3 多种漏洞	Nessus	Windows	2012/3/15	2018/7/16	high
58352	SeaMonkey < 2.8.0 多种漏洞	Nessus	Windows	2012/3/15	2018/7/27	high
58355	Thunderbird 10.0.x < 10.0.3 多种漏洞 (Mac OS X)	Nessus	MacOS X Local Security Checks	2012/3/15	2018/7/14	high
58347	FreeBSD：mozilla -- 多种漏洞 (a1050b8b-6db3-11e1-8b37-0011856a6e37)	Nessus	FreeBSD Local Security Checks	2012/3/15	2021/1/6	high
74574	openSUSE 安全更新：MozillaFirefox / MozillaThunderbird (openSUSE-SU-2012:0417-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	high
58354	Firefox 3.6.x < 3.6.28 多种漏洞 (Mac OS X)	Nessus	MacOS X Local Security Checks	2012/3/15	2018/7/14	high
58351	Mozilla Thunderbird 3.1.x < 3.1.20 多种漏洞	Nessus	Windows	2012/3/15	2018/7/16	high
58524	SuSE 11.1 安全更新：Mozilla Firefox（SAT 修补程序编号 6007）	Nessus	SuSE Local Security Checks	2012/3/29	2021/1/19	high
58353	Firefox < 10.0.3 多种漏洞 (Mac OS X)	Nessus	MacOS X Local Security Checks	2012/3/15	2018/7/14	high
58349	Firefox 3.6.x < 3.6.28 多种漏洞	Nessus	Windows	2012/3/15	2018/7/16	high
58350	Mozilla Thunderbird 10.0.x < 10.0.3 多种漏洞	Nessus	Windows	2012/3/15	2018/7/16	high
58525	SuSE 10 安全更新：Mozilla Firefox（ZYPP 修补程序编号 8029）	Nessus	SuSE Local Security Checks	2012/3/29	2021/1/19	high
63402	GLSA-201301-01：Mozilla 产品：多种漏洞 (BEAST)	Nessus	Gentoo Local Security Checks	2013/1/8	2025/10/6	critical

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

high

high

high

critical