远程主机受到 GLSA-202412-06（Mozilla Firefox：多个漏洞）中所述漏洞的影响

    在 Mozilla Firefox 和 Mozilla Thunderbird 中发现多种漏洞。请检查下方引用的 CVE 标识符以了解详细信息。

Tenable 已直接从 Gentoo Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机受到 GLSA-202412-13 中所述漏洞影响（Spidermonkey：多个漏洞）

    在 Spidermonkey 中发现多个漏洞。请检查下方引用的 CVE 标识符以了解详细信息。

Tenable 已直接从 Gentoo Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 选择选项选择器可隐藏部分安全提示。恶意站点可利用此缺陷诱骗用户授予权限。 *此问题仅影响 Firefox 的 Android 版本。*此漏洞影响低于 129 的 Firefox。(CVE-2024-7523)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机受到 GLSA-202412-04（Mozilla Firefox：多个漏洞）中所述漏洞的影响

    在 Mozilla Firefox 中发现多个漏洞。请检查下方引用的 CVE 标识符以了解详细信息。

Tenable 已直接从 Gentoo Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Windows 主机上安装的 Firefox 版本低于 129.0。因此，受到 mfsa2024-33 公告中提及的多个漏洞影响。

  - 选择选项可以隐藏全屏通知对话框。恶意站点可利用此漏洞执行欺骗攻击。(CVE-2024-7518)

  - 处理图形共享内存时检查不充分可导致内存损坏。这可被攻击者用于执行沙盒逃逸。(CVE-2024-7519)

  - 攻击者可能会利用 WebAssembly 中的类型混淆缺陷来实现代码执行。(CVE-2024-7520)

  - 不完整的 WebAssembly 异常处理可导致释放后使用。(CVE-2024-7521)

  - 编辑器代码无法检查属性值。这可能导致越界读取。
    (CVE-2024-7522)

  - 选择选项选择器可隐藏部分安全提示。恶意站点可利用此漏洞诱骗用户授予权限。此问题仅影响 Android 版本的 Firefox。(CVE-2024-7523)

  - Firefox 在增强型跟踪保护功能阻止某些跟踪脚本的地方添加了用于提高网络兼容性的 shim。在严格动态模式下受内容安全策略保护的站点上，能够注入 HTML 元素的攻击者可对某些 shim 使用 DOM 重叠攻击，并实现 XSS，绕过 CSP 的严格动态保护。(CVE-2024-7524)

  - 具备最小权限的 Web 扩展可创建用于读取和修改任何站点上请求响应正文的 <code>StreamFilter</code>。(CVE-2024-7525)

  - ANGLE 无法初始化参数，这会导致从未初始化的内存中读取数据。攻击者可利用此问题泄漏内存中的敏感数据。(CVE-2024-7526)

  - 清理开始时的非预期标记工作可导致释放后使用。(CVE-2024-7527)

  - IndexedDB 中错误的垃圾回收交互可能导致释放后使用。(CVE-2024-7528)

  - 日期选择器可隐藏部分安全提示。恶意站点可利用此漏洞诱骗用户授予权限。(CVE-2024-7529)

  - 错误的垃圾回收交互可能导致释放后使用。(CVE-2024-7530)

  - 当使用 CKMCHACHA20 在 NSS 中调用 <code>PK11Encrypt()</code>，并且使用同一个缓冲区作为输入和输出时，可导致 Intel Sandy Bridge 处理器上出现明文。在 Firefox 中，这只影响使用 ChaCha20-Poly1305 加密套件连接时的 QUIC 标头保护功能。最有可能的结果是连接失败，但如果在高数据包丢失率的情况下连接仍然存在，则网络观察者可能将数据包识别为来自同一来源的数据包，尽管网络路径已更改。(CVE-2024-7531)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 macOS 或 Mac OS X 主机上安装的 Mozilla Firefox 版本低于 129.0。因此，受到 mfsa2024-33 公告中提及的多个漏洞影响。

  - 选择选项可以隐藏全屏通知对话框。恶意站点可利用此漏洞执行欺骗攻击。(CVE-2024-7518)

  - 处理图形共享内存时检查不充分可导致内存损坏。这可被攻击者用于执行沙盒逃逸。(CVE-2024-7519)

  - 攻击者可能会利用 WebAssembly 中的类型混淆缺陷来实现代码执行。(CVE-2024-7520)

  - 不完整的 WebAssembly 异常处理可导致释放后使用。(CVE-2024-7521)

  - 编辑器代码无法检查属性值。这可能导致越界读取。
    (CVE-2024-7522)

  - 选择选项选择器可隐藏部分安全提示。恶意站点可利用此漏洞诱骗用户授予权限。此问题仅影响 Android 版本的 Firefox。(CVE-2024-7523)

  - Firefox 在增强型跟踪保护功能阻止某些跟踪脚本的地方添加了用于提高网络兼容性的 shim。在严格动态模式下受内容安全策略保护的站点上，能够注入 HTML 元素的攻击者可对某些 shim 使用 DOM 重叠攻击，并实现 XSS，绕过 CSP 的严格动态保护。(CVE-2024-7524)

  - 具备最小权限的 Web 扩展可创建用于读取和修改任何站点上请求响应正文的 <code>StreamFilter</code>。(CVE-2024-7525)

  - ANGLE 无法初始化参数，这会导致从未初始化的内存中读取数据。攻击者可利用此问题泄漏内存中的敏感数据。(CVE-2024-7526)

  - 清理开始时的非预期标记工作可导致释放后使用。(CVE-2024-7527)

  - IndexedDB 中错误的垃圾回收交互可能导致释放后使用。(CVE-2024-7528)

  - 日期选择器可隐藏部分安全提示。恶意站点可利用此漏洞诱骗用户授予权限。(CVE-2024-7529)

  - 错误的垃圾回收交互可能导致释放后使用。(CVE-2024-7530)

  - 当使用 CKMCHACHA20 在 NSS 中调用 <code>PK11Encrypt()</code>，并且使用同一个缓冲区作为输入和输出时，可导致 Intel Sandy Bridge 处理器上出现明文。在 Firefox 中，这只影响使用 ChaCha20-Poly1305 加密套件连接时的 QUIC 标头保护功能。最有可能的结果是连接失败，但如果在高数据包丢失率的情况下连接仍然存在，则网络观察者可能将数据包识别为来自同一来源的数据包，尽管网络路径已更改。(CVE-2024-7531)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
212189	GLSA-202412-06：Mozilla Thunderbird：多个漏洞	Nessus	Gentoo Local Security Checks	2024/12/9	2025/2/3	critical
212179	GLSA-202412-13：Spidermonkey：多个漏洞	Nessus	Gentoo Local Security Checks	2024/12/9	2025/2/3	critical
247471	Linux Distros 未修补的漏洞：CVE-2024-7523	Nessus	Misc.	2025/8/10	2025/8/10	high
212185	GLSA-202412-04：Mozilla Firefox：多个漏洞	Nessus	Gentoo Local Security Checks	2024/12/9	2024/12/9	critical
205009	Mozilla Firefox < 129.0	Nessus	Windows	2024/8/6	2024/9/6	critical
205010	Mozilla Firefox < 129.0	Nessus	MacOS X Local Security Checks	2024/8/6	2024/9/6	critical

检测

插件搜索

critical

critical

high

critical

critical

critical