远程主机受到 GLSA-201512-10 中所述漏洞的影响（Mozilla 产品：多种漏洞）

在 Mozilla Firefox 和 Mozilla Thunderbird 中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

远程攻击者可引诱用户查看特别构建的网页或电子邮件，这可能导致执行任意代码或拒绝服务的情况。
 变通方案：

目前无任何已知的变通方案。

远程 Mac OS X 主机上安装的 Firefox 版本低于 39.0。因此，它受到多种漏洞的影响：

- 存在由网络安全服务 (NSS) 缺陷导致的安全降级漏洞。在客户端已允许 ECDHE_ECDSA 交换而服务器却未发送 ServerKeyExchange 消息的情况下，NSS 客户端将会从 ECDSA 证书中获取 EC 密钥。远程攻击者能够利用此问题在用户不知情的情况下，使交换降级为非前向密码混合 ECDH 交换。
 (CVE-2015-2721)

- 在配合共享线程或专用线程使用 XMLHttpRequest 对象时，存在多个释放后使用错误。远程攻击者可利用此缺陷造成拒绝服务。（CVE-2015-2722、CVE-2015-2733）

- 存在多种内存损坏问题，攻击者可利用此类问题造成拒绝服务或执行任意代码。（CVE-2015-2724、CVE-2015-2725）

- 由于未能保留上下文限制，存在一个安全绕过漏洞。远程攻击者可利用此问题，通过构建的使用不明鼠标和键盘操作访问的网站读取任意文件或执行任意 JavaScript 代码。
 (CVE-2015-2727)

- 在索引数据库管理器处理 IDBDatabase 的过程中存在类型混淆缺陷。远程攻击者可利用此问题造成拒绝服务或执行任意代码。(CVE-2015-2728)

- 在计算振荡器渲染范围时 AudioParamTimeline::AudioNodeInputValue() 函数中存在越界读取缺陷。攻击者可利用此缺陷，泄漏内存中四个字节的内容或造成拒绝服务的情况。
 (CVE-2015-2729)

- 网络安全服务 (NSS) 的椭圆曲线数字签名算法 (ECDSA) 签名验证中存在缺陷，导致签名欺骗漏洞。远程攻击者可利用此漏洞伪造签名。(CVE-2015-2730)

- 在修改文档对象模型以移除 DOM 对象时，CSPService::ShouldLoad() 函数中存在一个释放后使用错误。攻击者可利用此问题取消引用已释放内存，进而导致执行任意代码。(CVE-2015-2731)

- 未初始化内存使用问题，存在于 CairoTextureClientD3D9::BorrowDrawTarget() 函数、::d3d11::SetBufferData() 函数以及 YCbCrImageDataDeserializer::ToDataSourceSurface() 函数中。所造成的影响不明。（CVE-2015-2734、CVE-2015-2737、CVE-2015-2738）

- 由于未正确检查字符串长度，nsZipArchive::GetDataOffset() 函数中存在一个内存损坏问题。攻击者可利用此问题，通过构建的 ZIP 存档执行任意代码。(CVE-2015-2735)

- nsZipArchive::BuildFileList() 函数中存在因未正确验证用户提供的输入而导致的内存损坏问题。攻击者可利用此问题，通过构建的 ZIP 存档执行任意代码。(CVE-2015-2736)

- ArrayBufferBuilder::append() 函数中存在因未正确验证用户提供的输入而导致的不明内存损坏问题。攻击者可利用此问题，执行任意代码。
 (CVE-2015-2739)

- nsXMLHttpRequest::AppendToResponseText() 函数中存在因未正确验证用户提供的输入而导致的缓冲区溢出情况。攻击者可利用此问题，执行任意代码。
 (CVE-2015-2740)

- 存在证书锁定检查缺陷所导致的安全绕过漏洞。如果出现生成用户对话的 X.509 证书问题，则不强制执行密钥锁定。中间人攻击者可利用此问题绕过预期访问限制。
 (CVE-2015-2741)

- 由于崩溃报告包含按键信息，存在一个信息泄露漏洞。
 (CVE-2015-2742)

- PDF 查看器 (PDF.js) 中存在因不安全执行内部线程而导致的权限升级漏洞。攻击者可利用此问题，绕过同源策略，执行任意代码。
 (CVE-2015-2743)

- 由于 SSL/TLS 协议中的缺陷，存在中间人漏洞，也称为 Logjam。远程攻击者可利用此缺陷，使用临时 Diffie-Hellman 密钥交换将连接降级至 512 位出口级加密。(CVE-2015-4000)

Mozilla 项目报告：

MFSA 2015-59 各种内存安全危害 (rv:39.0 / rv:31.8 / rv:38.1)

MFSA 2015-60 可在新选项卡中打开页面中的本地文件或特权 URL

MFSA 2015-61 索引数据库管理器中的类型混淆

MFSA 2015-62 计算 Web 音频中的振荡器渲染范围时的越界读取

MFSA 2015-63 内容策略中因微任务执行错误而造成的释放后使用

MFSA 2015-64 ECDSA 签名验证无法正确处理某些签名

MFSA 2015-65 使用 XMLHttpRequest 时工作线程中的释放后使用

MFSA 2015-66 通过代码检查发现了多种漏洞

MFSA 2015-67 遇到可覆盖的错误时忽略密钥锁定

MFSA 2015-68 OS X 崩溃报告可能包含输入的按键信息

MFSA 2015-69 通过内部工作线程造成的权限升级

MFSA 2015-70 NSS 接受具有常规 DHE 加密套件的出口级长度 DHE 密钥

MFSA 2015-71 NSS 错误地允许跳过 ServerKeyExchange

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
87710	GLSA-201512-10：Mozilla 产品：多种漏洞 (Bar Mitzvah) (Logjam)	Nessus	Gentoo Local Security Checks	2016/1/4	2022/12/5	critical
84577	Firefox < 39.0 多种漏洞 (Mac OS X) (Logjam)	Nessus	MacOS X Local Security Checks	2015/7/7	2022/12/5	critical
84780	FreeBSD : mozilla -- 多种漏洞 (44d9daee-940c-4179-86bb-6e3ffd617869) (Logjam)	Nessus	FreeBSD Local Security Checks	2015/7/16	2022/12/5	low

检测

插件搜索

critical

critical

low