已在 mozilla firefox 和 thunderbird 中识别并修复了安全问题：

低于 3.6.26 和 4.x 至 9.0 的 Mozilla Firefox、低于 3.1.18 和 5.0 至 9.0 的 Thunderbird 以及低于 2.7 的 SeaMonkey 中存在释放后使用漏洞，可能允许远程攻击者通过矢量执行任意代码，该漏洞与影响已删除 nsDOMAttribute 子节点访问的不正确 AttributeChildRemoved 通知相关 (CVE-2011-3659)。

低于 3.6.26 和 4.x 至 6.0 的 Mozilla Firefox、低于 3.1.18 和 5.0 至 6.0 的 Thunderbird 以及低于 2.4 的 SeaMonkey 未正确强制使用 IPv6 文本地址语法，这可允许远程攻击者通过代理进行 XMLHttpRequest 调用和读取错误消息来获取敏感信息 (CVE-2011-3670)。

低于 3.6.26 和 4.x 至 9.0 的 Mozilla Firefox、低于 3.1.18 和 5.0 至 9.0 的 Thunderbird 以及低于 2.7 的 SeaMonkey 的浏览器引擎中的多种不明漏洞允许远程攻击者通过未知矢量造成拒绝服务（内存损坏和应用程序崩溃）或可能执行任意代码 (CVE-2012-0442)。

Mozilla Firefox 4.x 至 9.0、Thunderbird 5.0 至 9.0 以及低于 2.7 的 SeaMonkey 的浏览器引擎中的多种不明漏洞允许远程攻击者通过未知矢量造成拒绝服务（内存损坏和应用程序崩溃）或可能执行任意代码 (CVE-2012-0443)。

低于 3.6.26 和 4.x 至 9.0 的 Mozilla Firefox、低于 3.1.18 和 5.0 至 9.0 的 Thunderbird 以及低于 2.7 的 SeaMonkey 未正确初始化 nsChildView 数据结构，这允许远程攻击者通过构建的 Ogg Vorbis 文件造成拒绝服务（内存损坏和应用程序崩溃）或可能执行任意代码 (CVE-2012-0444)。

Mozilla Firefox 4.x 至 9.0、Thunderbird 5.0 至 9.0 以及低于 2.7 的 SeaMonkey 允许远程攻击者通过使用子框架的名称属性创建表单提交目标来绕过 HTML5 框架导航策略并替换任意子框架 (CVE-2012-0445)。

Mozilla Firefox 4.x 至 9.0、Thunderbird 5.0 至 9.0 以及低于 2.7 的 SeaMonkey 中的多个跨站脚本 (XSS) 漏洞允许远程攻击者通过 (1) 网页或 (2) Firefox 扩展注入任意 Web 脚本或 HTML，这些漏洞与未正确强制执行针对调用非信任对象的框架脚本的 XPConnect 安全限制相关 (CVE-2012-0446)。

Mozilla Firefox 4.x 至 9.0、Thunderbird 5.0 至 9.0 以及低于 2.7 的 SeaMonkey 未正确初始化 image/vnd.microsoft.icon 图像的数据，这允许远程攻击者在读取通过 ICO 图像转换所创建的 PNG 图像时获取潜在敏感信息 (CVE-2012-0447)。

低于 3.6.26 和 4.x 至 9.0 的 Mozilla Firefox、低于 3.1.18 和 5.0 至 9.0 的 Thunderbird 以及低于 2.7 的 SeaMonkey 允许远程攻击者通过文档中嵌入的畸形 XSLT 样式表造成拒绝服务（内存损坏和应用程序崩溃）或可能执行任意代码 (CVE-2012-0449)。

Linux 和 Mac OS X 上的 Mozilla Firefox 4.x 至 9.0 以及低于 2.7 的 SeaMonkey 设置 Firefox Recovery Key.html 的弱权限，这可能允许本地用户通过标准文件系统操作读取 Firefox Sync 密钥 (CVE-2012-0450)。

此外，libvpx 程序包已升级到 0.9.7 版本，用于 firefox 10.0 所需的 Mandriva Linux 2011。

来自 Red Hat 安全公告 2012:0079：

更新后的 firefox 程序包修复了多种安全问题，现在可用于Red Hat Enterprise Linux 4、5 和 6。

Red Hat 安全响应团队已将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Mozilla Firefox 是一款开源 Web 浏览器。XULRunner 提供用于 Mozilla Firefox 的 XUL Runtime 环境。

在 Firefox 删除 nsDOMAttribute 子节点的方式中发现一个释放后使用缺陷。在某些情况下，由于 AttributeChildRemoved 的过早通知，恶意脚本可能会利用此缺陷来导致 Firefox 崩溃，或者可能以运行 Firefox 的用户的权限执行任意代码。(CVE-2011-3659)

在对畸形 Web 内容的处理中发现多个缺陷。包含恶意内容的网页可导致 Firefox 崩溃，或者可能以运行 Firefox 的用户的权限执行任意代码。(CVE-2012-0442)

在 Firefox 解析 Ogg Vorbis 媒体文件的方式中发现一个缺陷。包含恶意 Ogg Vorbis 媒体文件的网页可以导致 Firefox 崩溃，或者可能以运行 Firefox 的用户的权限执行任意代码。(CVE-2012-0444)

在 Firefox 解析包含可扩展样式表语言转换 (XSLT) 的某些可缩放矢量图形 (SVG) 图像文件的方式中发现一个缺陷。包含恶意 SVG 图像文件的网页可以导致 Firefox 崩溃，或者可能以运行 Firefox 的用户的权限执行任意代码。
(CVE-2012-0449)

Firefox 中的同源策略将 http://example.com 和 http://[example.com] 视为可互换。恶意脚本可能会利用此缺陷来获取在对使用方括号的无效 URL 的响应中生成 HTTP 代理错误回复中可能包含的敏感信息的访问权限（例如客户端的 IP 和用户电子邮件地址或者 httpOnly cookie）。(CVE-2011-3670)

有关这些缺陷的技术详细信息，请参阅 Firefox 3.6.26 的 Mozilla 安全公告。在本勘误表的“参考”部分可以找到 Mozilla 公告的链接。

所有 Firefox 用户应升级这些更新后的程序包，其中包含已修正了这些问题的 Firefox 版本 3.6.26。安装更新后，必须重新启动 Firefox 才能使更改生效。

Mozilla SeaMonkey 已更新到 2.7 安全更新，修复了多个安全问题和缺陷。已修复下列安全缺陷：

MFSA 2012-01：Mozilla 开发人员发现并修复了 Firefox 和其他基于 Mozilla 的产品所使用的浏览器引擎中的多个内存安全缺陷。这些缺陷中的一部分在特定情况下可导致内存损坏，我们推测只要通过足够的手段，至少能利用其中部分缺陷来运行任意代码。

一般情况下，因为脚本已禁用，所以这些缺陷在 Thunderbird 和 SeaMonkey 产品中无法通过电子邮件被利用，但在上述产品的浏览器或类似浏览器的上下文中仍存在潜在风险。引用

CVE-2012-0442：Jesse Ruderman 和 Bob Clary 报告了在 Firefox 10 和 Firefox 3.6.26 中均得到修复的内存安全问题。

MFSA 2012-02/CVE-2011-3670：由于历史原因，Firefox 已乐于解释在主机周围包含方括号的 Web 地址。如果该主机不是有效的 IPv6 文本地址，Firefox 会尝试将该主机解释为常规域名。据 Gregory Fleischer 报告，视 IPv6 的代理配置而定，使用 IPv6 语法并通过代理使用 XMLHttpRequest 对象发出的请求可能生成错误。由此产生的来自代理的错误消息可能泄露敏感数据，因为同源策略 (SOP) 将允许 XMLHttpRequest 对象读取这些错误消息，导致用户隐私受到侵蚀。Firefox 现在强制执行 RFC 3986 IPv6 文本语法，这可能会破坏使用之前接受的仅适合 Firefox 的非标准形式编写的链接。

之前已针对 Firefox 7.0、Thunderbird 7.0 和 SeaMonkey 2.4 修复了此问题，但在 2012 年期间仅在 Firefox 3.6.26 和 Thunderbird 3.1.18 中修复了此问题。

MFSA 2012-04/CVE-2011-3659：据安全研究人员 regenrecht 通过 TippingPoint 零日计划报告，在某些情况下仍能访问 nsDOMAttribute 中已被删除的子节点，因为过早通知了 AttributeChildRemoved。此子节点的释放后使用可能允许远程代码执行。

MFSA 2012-07 / CVE-2012-0444：安全研究人员 regenrecht 通过 TippingPoint 零日计划报告了解码 Ogg Vorbis 文件期间发生内存损坏的可能性。这可导致在解码期间崩溃并有可能执行远程代码。

MFSA 2012-08 / CVE-2012-0449：安全研究人员 Nicolas Gregoire 和 Aki Helin 独立报告称，处理畸形的嵌入式 XSLT 样式表时，Firefox 可能因内存损坏而崩溃。尽管没有证据表明可直接利用此问题，但存在远程代码执行的可能性。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
57833	Mandriva Linux 安全公告：mozilla (MDVSA-2012:013)	Nessus	Mandriva Local Security Checks	2012/2/6	2021/1/6	critical
68443	Oracle Linux 4 / 5 / 6：firefox (ELSA-2012-0079)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2024/10/22	critical
76026	openSUSE 安全更新：seamonkey (seamonkey-5768)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	critical

检测

插件搜索

critical

critical

critical