远程 Mac OS X 主机上安装的 Firefox 版本低于 45。因此，它会受到多种漏洞的影响，其中多数为远程代码执行漏洞。未经认证的远程攻击者可利用这些问题，诱使用户访问一个特别构建的网站从而导致在当前用户的环境中执行任意代码。

远程 Redhat Enterprise Linux 6/7 主机上安装的一个程序包受到 RHSA-2016:0197 公告中提及的多个漏洞影响。

    Mozilla Firefox 是一款开源网页浏览器。XULRunner 提供用于 Mozilla Firefox 的 XUL Runtime 环境。

    在 Firefox 随附的 graphite2 字体库中发现多个安全缺陷。包含恶意内容的网页可导致 Firefox 崩溃，或者可能以运行 Firefox 的用户的权限执行任意代码。（CVE-2016-1521、CVE-2016-1522、CVE-2016-1523）

    所有 Firefox 用户应升级这些更新后的程序包，其中包含已修正了这些问题的 Firefox 版本 38.6.1 ESR。安装更新后，必须重新启动 Firefox 才能使更改生效。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Mac OS X 主机上安装的 Mozilla Firefox ESR 版本低于 38.6.1。因此，会受到 Graphite 2 库中的多个远程代码执行漏洞影响：

- 上下文项目功能存在一个溢出情况，这是因为不当验证用户提供的输入所导致。未经认证的远程攻击者可利用此问题，通过特别构建的 Graphite 智能字体造成基于堆的缓冲区溢出，进而导致拒绝服务或执行任意代码。
 (CVE-2016-1523)

- setAttr() 函数中存在一个越界写入错误，在处理恶意制作的字体时会触发该错误。未经认证的远程攻击者可利用此问题执行任意代码。(CVE-2016-1969

Mozilla Foundation 报告：

安全研究员 Holger Fuhrmannek 和 Mozilla 安全工程师 Tyson Smith 报告，Graphite 2 库中有多个会影响 1.3.5 版的安全漏洞。

Holger Fuhrmannek 报告的问题是一种机制，其会通过恶意 graphite 字体引发堆栈崩溃。加载该字体时，这个问题可能会导致可利用的崩溃情况。

Tyson Smith 使用地址审查器工具并搭配自定义软件 fuzzer，在使用模糊 graphite 字体时，发现一系列未初始化的内存、越界读取和越界写入错误。

安全研究员 James Clawson 使用地址审查器工具，在加载特别构建的 Graphite 字体文件时，于 Graphite 2 库中发现一个越界写入错误。这会导致潜在可利用的崩溃。

远程 Windows 主机上安装的 Firefox 版本低于 45。因此，它会受到多种漏洞的影响，其中多数为远程代码执行漏洞。未经认证的远程攻击者可利用这些问题，诱使用户访问一个特别构建的网站从而导致在当前用户的环境中执行任意代码。

更新后的 firefox 程序包修复了多种安全问题，现在可用于Red Hat Enterprise Linux 5、6 和 7。

Red Hat 产品安全团队将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Mozilla Firefox 是一款开源 Web 浏览器。XULRunner 提供用于 Mozilla Firefox 的 XUL Runtime 环境。

在 Firefox 随附的 graphite2 字体库中发现多个安全缺陷。包含恶意内容的网页可导致 Firefox 崩溃，或者可能以运行 Firefox 的用户的权限执行任意代码。（CVE-2016-1521、CVE-2016-1522、CVE-2016-1523）

所有 Firefox 用户应升级这些更新后的程序包，其中包含已修正了这些问题的 Firefox 版本 38.6.1 ESR。安装更新后，必须重新启动 Firefox 才能使更改生效。

远程 Windows 主机上安装的 Mozilla Firefox ESR 版本低于 38.6.1。因此，会受到 Graphite 2 库中的多个远程代码执行漏洞影响：

- 上下文项目功能存在一个溢出情况，这是因为不当验证用户提供的输入所导致。未经认证的远程攻击者可利用此问题，通过特别构建的 Graphite 智能字体造成基于堆的缓冲区溢出，进而导致拒绝服务或执行任意代码。
 (CVE-2016-1523)

- setAttr() 函数中存在一个越界写入错误，在处理恶意制作的字体时会触发该错误。未经认证的远程攻击者可利用此问题执行任意代码。(CVE-2016-1969)

远程主机受到 GLSA-201605-06 中所述漏洞的影响（Mozilla 产品：多种漏洞）

在 Firefox、NSS、NSPR 和 Thunderbird 中发现多个漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

远程攻击者可引诱用户查看特别构建的网页或电子邮件，这可能导致执行任意代码或拒绝服务的情况。此外，远程攻击者可能可以执行中间人攻击、获取敏感信息、欺骗地址栏、执行点击劫持攻击、绕过安全限制和保护机制，或造成其他不明影响。
 变通方案：

目前无任何已知的变通方案。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
89873	Firefox < 45 多种漏洞 (Mac OS X)	Nessus	MacOS X Local Security Checks	2016/3/11	2019/11/20	critical
88789	RHEL 6 / 7：firefox (RHSA-2016:0197)	Nessus	Red Hat Local Security Checks	2016/2/17	2025/4/15	high
88751	Firefox ESR < 38.6.1 多种 Graphite 2 库 RCE (Mac OS X)	Nessus	MacOS X Local Security Checks	2016/2/16	2019/11/20	high
89767	FreeBSD：graphite2 -- 多种漏洞 (adffe823-e692-4921-ae9c-0b825c218372)	Nessus	FreeBSD Local Security Checks	2016/3/9	2021/1/4	high
89875	Firefox < 45 多种漏洞	Nessus	Windows	2016/3/11	2019/11/20	critical
88762	CentOS 5 / 6 / 7：firefox (CESA-2016:0197)	Nessus	CentOS Local Security Checks	2016/2/17	2021/1/4	high
88753	Firefox ESR < 38.6.1 多个 Graphite 2 库 RCE	Nessus	Windows	2016/2/16	2019/11/20	high
91379	GLSA-201605-06：Mozilla 产品：多种漏洞	Nessus	Gentoo Local Security Checks	2016/5/31	2022/12/5	critical

检测

插件搜索

critical

high

high

high

critical

high

high

critical