远程iraclelinux 4 主机上存在安装的程序包该程序包受到 AXSA:2019-3898:02 公告中提及的多个漏洞的影响。

    * MozillaFirefox 67 和 Firefox ESR 中修复了内存安全缺陷 60.7 (CVE-2019-9800)
      * Mozilla：使用 createImageBitmap，跨源盗取图像 (CVE-2019-9797)
      * Mozilla：使用画布盗取跨域图像 (CVE-2019-9817)
      * Mozilla：隔离与提取 API 不匹配 (CVE-2019-9819)
      * Mozilla：通过 DocShell 的 ChromeEventHandler 的释放后使用 (CVE-2019-9820)
      * Mozilla：XMLHttpRequest 中的释放后使用 (CVE-2019-11691)
      * Mozilla：在事件侦听程序管理器中释放后使用删除侦听程序 (CVE-2019-11692)
      * Mozilla：Linux 上， WebGL 缓冲区数据中的缓冲区溢出 (CVE-2019-11693)
      * mozilla：使用 ImageBitmapRenderingContext，跨源盗取图像 (CVE-2018-18511)
      * chromium-browser：Skia 中越界读取 (CVE-2019-5798)
      * Mozilla：通过拖放超链接到书签及从书签拖放超链接以窃取用户历史数据 (CVE-2019-11698)
      * libpng：在 png.c 中，png_image_free 中的释放后使用 (CVE-2019-7317)

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

在 Firefox 中发现多个安全问题。如果用户受到诱骗打开特别构建的网站，攻击者可能利用这些问题造成拒绝服务、伪造浏览器 UI、诱骗用户启动本地可执行二进制、获取敏感信息、执行跨站脚本 (XSS) 攻击或执行任意代码。(CVE-2019-11691, CVE-2019-11692, CVE-2019-11693, CVE-2019-11695, CVE-2019-11696, CVE-2019-11699, CVE-2019-11701, CVE-2019-7317, CVE-2019-9800, CVE-2019-9814, CVE-2019-9817, CVE-2019-9819, CVE-2019-9820, CVE-2019-9821)

据发现，按下特定按键组合可绕过插件安装提示延迟。如果用户打开特别构建的网站，攻击者可能借此诱骗他们安装恶意扩展。(CVE-2019-11697)

据发现，历史数据可能会通过将超链接从书签拖出，或将其拖至书签遭到披露。如果用户遭到诱骗而将特制的超链接拖至书签工具栏或侧栏，随后回到网页内容区域，则攻击者可能会借此获取敏感信息。
(CVE-2019-11698)

据发现，对象群组和 UnboxedObjects 存在类型混淆错误。如果用户受到诱骗在启用 UnboxedObjects 功能之后打开特别构建的网站，攻击者可能利用此问题绕过安全检查。
(CVE-2019-9816)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Mozilla Firefox web 浏览器中发现多个安全问题，可能会造成执行任意代码。

远程 macOS 或 Mac OS X 主机上安装的 Thunderbird 版本低于 60.7。因此如公告 mfsa2019-15 所述受到多个漏洞的影响。

  - 在仍处于使用状态下释放 chrome 事件处理程序时会出现释放后使用漏洞。
    这会导致潜在可利用的崩溃。 (CVE-2019-9820)

  - 若未停用超线程，则会出现时序攻击漏洞，与之前的 Spectre 攻击类似。Apple 的 macOS 10.14.5 随附一个选项，可在通过新 sysctl 在线程中运行不受信任之代码的应用程序中停用超线程。Firefox 现在在主线程和任何工作者线程中利用此选项。注意用户需要更新至 macOS 10.14.5 以利用此变更。
    (CVE-2019-9815)

  - 存在一个可能的漏洞当在对象群组中操控 JavaScript 对象时会发生类型混淆进而可绕过这些群组内的安全性检查。注意此漏洞仅在 <code>UnboxedObjects</code>中得到证实这在所有受支持的版本中默认禁用。 (CVE-2019-9816)

  - 在某些情况下可使用 canvas 对象读取来自不同域图像。这可被用来从违反同源策略的不同站点窃取图像数据。 (CVE-2019-9817)

  - 在用于为 crash reporter 生成数据的 crash generation 服务器中存在争用条件。
    此问题会导致主要进程出现释放后使用情形，进而导致可能可遭到恶意利用的崩溃和沙盒逃逸。请注意，此漏洞只影响 Windows。其他操作系统不受影响。(CVE-2019-9818)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Windows 主机上安装的 Firefox 版本低于 67.0。因此受到公告 mfsa2019-13 中提及的多个漏洞的影响。

  - 在仍处于使用状态下释放 chrome 事件处理程序时会出现释放后使用漏洞。
    这会导致潜在可利用的崩溃。 (CVE-2019-9820)

  - 若未停用超线程，则会出现时序攻击漏洞，与之前的 Spectre 攻击类似。Apple 的 macOS 10.14.5 随附一个选项，可在通过新 sysctl 在线程中运行不受信任之代码的应用程序中停用超线程。Firefox 现在在主线程和任何工作者线程中利用此选项。注意用户需要更新至 macOS 10.14.5 以利用此变更。
    (CVE-2019-9815)

  - 存在一个可能的漏洞当在对象群组中操控 JavaScript 对象时会发生类型混淆进而可绕过这些群组内的安全性检查。注意此漏洞仅在 <code>UnboxedObjects</code>中得到证实这在所有受支持的版本中默认禁用。 (CVE-2019-9816)

  - 在某些情况下可使用 canvas 对象读取来自不同域图像。这可被用来从违反同源策略的不同站点窃取图像数据。 (CVE-2019-9817)

  - 在用于为 crash reporter 生成数据的 crash generation 服务器中存在争用条件。
    此问题会导致主要进程出现释放后使用情形，进而导致可能可遭到恶意利用的崩溃和沙盒逃逸。请注意，此漏洞只影响 Windows。其他操作系统不受影响。(CVE-2019-9818)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

firefox 的更新现在可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Mozilla Firefox 是一个开源网页浏览器，设计满足标准合规、性能和可移植性要求。此更新将 Firefox 升级到版本 60.7.0 ESR。安全修复：* Mozilla：Firefox 67 和 Firefox ESR 60.7 中的内存安全缺陷已修复 (CVE-2019-9800) * Mozilla：使用 createImageBitmap 跨源窃取图像 (CVE-2019-9797) * Mozilla：与对象组和 UnboxedObjects 产生类型混淆 (CVE-2019-9816) * Mozilla：窃取使用 canvas 的跨域图像 (CVE-2019-9817) * Mozilla：与 fetch API 分段不符 (CVE-2019-9819) * Mozilla：DocShell 释放后使用 ChromeEventHandler (CVE-2019-9820) * Mozilla：在 XMLHttpRequest 中发现释放后使用 (CVE-2019-11691) * Mozilla：事件侦听管理器中移除侦听器的释放后使用 (CVE-2019-11692) * Mozilla：在 Linux 上，WebGL bufferdata 中存在缓冲区溢出 (CVE-2019-11693) * mozilla：使用 ImageBitmapRenderingContext 跨源窃取图像 (CVE-2018-18511) * Mozilla：Skia 中越界读取 (CVE-2019-5798) * Mozilla：通过将超链接拖放至书签，以及从书签拉出超链接，盗取用户历史数据 (CVE-2019-11698) * libpng：png.c 的 png_image_free 中存在释放后使用 (CVE-2019-7317) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

firefox 的更新现在可用于 Red Hat Enterprise Linux 8。Red Hat 产品安全团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Mozilla Firefox 是一个开源网页浏览器，设计满足标准合规、性能和可移植性要求。此更新将 Firefox 升级到版本 60.7.0 ESR。安全修复：* Mozilla：Firefox 67 和 Firefox ESR 60.7 中的内存安全缺陷已修复 (CVE-2019-9800) * Mozilla：使用 createImageBitmap 跨源窃取图像 (CVE-2019-9797) * Mozilla：与对象组和 UnboxedObjects 产生类型混淆 (CVE-2019-9816) * Mozilla：窃取使用 canvas 的跨域图像 (CVE-2019-9817) * Mozilla：与 fetch API 分段不符 (CVE-2019-9819) * Mozilla：DocShell 释放后使用 ChromeEventHandler (CVE-2019-9820) * Mozilla：在 XMLHttpRequest 中发现释放后使用 (CVE-2019-11691) * Mozilla：事件侦听管理器中移除侦听器的释放后使用 (CVE-2019-11692) * Mozilla：在 Linux 上，WebGL bufferdata 中存在缓冲区溢出 (CVE-2019-11693) * mozilla：使用 ImageBitmapRenderingContext 跨源窃取图像 (CVE-2018-18511) * Mozilla：Skia 中越界读取 (CVE-2019-5798) * Mozilla：通过将超链接拖放至书签，以及从书签拉出超链接，盗取用户历史数据 (CVE-2019-11698) * libpng：png.c 的 png_image_free 中存在释放后使用 (CVE-2019-7317) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

来自 Red Hat 安全公告 2019:1265： firefox 更新现可用于 Red Hat Enterprise Linux 7。 Red Hat 产品安全团队已将此更新评级为具有重大安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 Mozilla Firefox 是一个开源网页浏览器，设计满足标准合规、性能和可移植性要求。 此更新将 Firefox 升级到版本 60.7.0 ESR。 安全补丁： * Mozilla：在 Firefox 67 和 Firefox ESR 60.7 中修复了内存安全缺陷 (CVE-2019-9800) * Mozilla：使用 createImageBitmap，跨源盗取图像 (CVE-2019-9797) * Mozilla：含对象组和 UnboxedObjects 的类型混淆 (CVE-2019-9816) * Mozilla：使用画布盗取跨域图像 (CVE-2019-9817) * Mozilla：隔离与提取 API 不匹配 (CVE-2019-9819) * Mozilla：通过 DocShell 的 ChromeEventHandler 的释放后使用 (CVE-2019-9820) * Mozilla：XMLHttpRequest 中的释放后使用 (CVE-2019-11691) * Mozilla：在事件侦听程序管理器中释放后使用删除侦听程序 (CVE-2019-11692) * Mozilla：Linux 上， WebGL 缓冲区数据中的缓冲区溢出 (CVE-2019-11693) * mozilla：使用 ImageBitmapRenderingContext，跨源盗取图像 (CVE-2018-18511) * chromium-browser：Skia 中越界读取 (CVE-2019-5798) * Mozilla：通过拖放超链接到书签及从书签拖放超链接以窃取用户历史数据 (CVE-2019-11698) * libpng：在 png.c 中，png_image_free 中的释放后使用 (CVE-2019-7317) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

来自 Red Hat 安全公告 2019:1267： firefox 更新现可用于 Red Hat Enterprise Linux 6。 Red Hat 产品安全团队已将此更新评级为具有重大安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 Mozilla Firefox 是一个开源网页浏览器，设计满足标准合规、性能和可移植性要求。 此更新将 Firefox 升级到版本 60.7.0 ESR。 安全补丁： * Mozilla：在 Firefox 67 和 Firefox ESR 60.7 中修复了内存安全缺陷 (CVE-2019-9800) * Mozilla：使用 createImageBitmap，跨源盗取图像 (CVE-2019-9797) * Mozilla：含对象组和 UnboxedObjects 的类型混淆 (CVE-2019-9816) * Mozilla：使用画布盗取跨域图像 (CVE-2019-9817) * Mozilla：隔离与提取 API 不匹配 (CVE-2019-9819) * Mozilla：通过 DocShell 的 ChromeEventHandler 的释放后使用 (CVE-2019-9820) * Mozilla：XMLHttpRequest 中的释放后使用 (CVE-2019-11691) * Mozilla：在事件侦听程序管理器中释放后使用删除侦听程序 (CVE-2019-11692) * Mozilla：Linux 上， WebGL 缓冲区数据中的缓冲区溢出 (CVE-2019-11693) * mozilla：使用 ImageBitmapRenderingContext，跨源盗取图像 (CVE-2018-18511) * chromium-browser：Skia 中越界读取 (CVE-2019-5798) * Mozilla：通过拖放超链接到书签及从书签拖放超链接以窃取用户历史数据 (CVE-2019-11698) * libpng：在 png.c 中，png_image_free 中的释放后使用 (CVE-2019-7317) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

远程主机上安装的 IBM Java 版本为 7.0 < 7.0.10.50/7.1 < 7.1.4.50/8.0 < 8.0.5.40。因此，其会受到 2019 年 7 月 16 日 Oracle CPU 公告中提及的多个漏洞影响。

  - Oracle Java SE 的 Java SE、Java SE Embedded 组件中存在漏洞（子组件：实用工具）。
    受影响的支持版本为 Java SE：7u221、8u212、11.0.3 和 12.0.1；Java SE Embedded：
    8u211。可轻松利用的漏洞允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Java SE、Java SE Embedded。成功利用此漏洞进行攻击可导致在未经授权的情况下造成 Java SE、Java SE Embedded 部分拒绝服务（部分 DOS）。
    注意：此漏洞适用于需加载并运行不可信代码（如来自互联网的代码）且安全性依赖于 Java 沙盒的 Java 部署，而该部署通常在沙盒式 Java Web Start 应用程序或沙盒式 Java 小程序（在 Java SE 8 中）的客户端上进行。此漏洞也可通过使用指定组件中的 API 加以利用，如通过向 API 提供数据的 Web 服务。（CVE-2019-2762、CVE-2019-2769）

  - Oracle Java SE 的 Java SE、Java SE Embedded 组件中存在漏洞（子组件：Networking）。
    受影响的支持版本为 Java SE：7u221、8u212、11.0.3 和 12.0.1；Java SE Embedded：
    8u211。难以利用的漏洞允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Java SE、Java SE Embedded。除攻击者以外的他人进行交互是实现成功攻击的必要条件。成功攻击此漏洞可导致对 Java SE、Java SE Embedded 可访问数据子集进行未经授权的读取访问。注意：此漏洞适用于需加载并运行不可信代码（如来自互联网的代码）且安全性依赖于 Java 沙盒的 Java 部署，而该部署通常在沙盒式 Java Web Start 应用程序或沙盒式 Java 小程序（在 Java SE 8 中）的客户端上进行。此漏洞也可通过使用指定组件中的 API 加以利用，如通过向 API 提供数据的 Web 服务。(CVE-2019-2766)

  - Oracle Java SE 的 Java SE、Java SE Embedded 组件中存在漏洞（子组件：Security）。
    受影响的支持版本为 Java SE：8u212、11.0.3 和 12.0.1；Java SE Embedded：8u211。
    难以利用的漏洞允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Java SE、Java SE Embedded。除攻击者以外的他人进行交互是实现成功攻击的必要条件，尽管漏洞存在于 Java SE、Java SE Embedded 中，但攻击也可能会严重影响其他产品。成功攻击此漏洞可导致对 Java SE、Java SE Embedded 可访问数据子集进行未经授权的读取访问。注意：此漏洞适用于需加载并运行不可信代码（如来自互联网的代码）且安全性依赖于 Java 沙盒的 Java 部署，而该部署通常在沙盒式 Java Web Start 应用程序或沙盒式 Java 小程序（在 Java SE 8 中）的客户端上进行。此漏洞也可通过使用指定组件中的 API 加以利用，如通过向 API 提供数据的 Web 服务。(CVE-2019-2786)

  - Oracle Java SE 的 Java SE、Java SE Embedded 组件中存在漏洞（子组件：Networking）。
    受影响的支持版本为 Java SE：7u221、8u212、11.0.3 和 12.0.1；Java SE Embedded：
    8u211。难以利用的漏洞允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Java SE、Java SE Embedded。成功利用此漏洞进行攻击可导致在未经授权的情况下更新、插入或删除某些 Java SE、Java SE Embedded 可访问数据的访问权限，以及对 Java SE、Java SE Embedded 可访问数据子集进行未经授权的读取访问。注意：此漏洞适用于需加载并运行不可信代码（如来自互联网的代码）且安全性依赖于 Java 沙盒的 Java 部署，而该部署通常在沙盒式 Java Web Start 应用程序或沙盒式 Java 小程序（在 Java SE 8 中）的客户端上进行。此漏洞也可通过使用指定组件中的 API 加以利用，如通过向 API 提供数据的 Web 服务。(CVE-2019-2816)

  - 在 1.6.37 之前的 libpng 1.6.x 中，在 png.c 的 png_image_free 中存在释放后使用，这是在 png_safe_execute 中调用 png_image_free_function 所致。(CVE-2019-7317)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

远程主机上安装的 Amazon Corretto 版本为低于 8.222.10.1 的 8 版本。因此，其会受到 corretto-8-2019-Jul-16 公告中提及的多个漏洞影响。

  - Security（CVE-2019-2745、CVE-2019-2786）

  - Utilities（CVE-2019-2762、CVE-2019-2769）

  - Networking（CVE-2019-2766、CVE-2019-2816）

  - JCE (CVE-2019-2842)

  - AWT (libpng) (CVE-2019-7317)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

thunderbird 的更新现在可用于 Red Hat Enterprise Linux 8。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Mozilla Thunderbird 是独立的邮件和新闻组客户端。此更新将 Thunderbird 升级到版本 60.7.0。安全修复：* Mozilla：Firefox 67 和 Firefox ESR 60.7 中的内存安全缺陷已修复 (CVE-2019-9800) * Mozilla：使用 createImageBitmap 跨源窃取图像 (CVE-2019-9797) * Mozilla：窃取使用 canvas 的跨域图像 (CVE-2019-9817) * Mozilla：与 fetch API 分段不符 (CVE-2019-9819) * Mozilla：DocShell 释放后使用 ChromeEventHandler (CVE-2019-9820) * Mozilla：在 XMLHttpRequest 中发现释放后使用 (CVE-2019-11691) * Mozilla：事件侦听管理器中移除侦听器的释放后使用 (CVE-2019-11692) * Mozilla：在 Linux 上，WebGL bufferdata 中存在缓冲区溢出 (CVE-2019-11693) * mozilla：使用 ImageBitmapRenderingContext 跨源窃取图像 (CVE-2018-18511) * Mozilla：Skia 中越界读取 (CVE-2019-5798) * Mozilla：通过将超链接拖放至书签，以及从书签拉出超链接，盗取用户历史数据 (CVE-2019-11698) * libpng：png.c 的 png_image_free 中存在释放后使用 (CVE-2019-7317) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

thunderbird 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Mozilla Thunderbird 是独立的邮件和新闻组客户端。此更新将 Thunderbird 升级到版本 60.7.0。安全修复：* Mozilla：Firefox 67 和 Firefox ESR 60.7 中的内存安全缺陷已修复 (CVE-2019-9800) * Mozilla：使用 createImageBitmap 跨源窃取图像 (CVE-2019-9797) * Mozilla：窃取使用 canvas 的跨域图像 (CVE-2019-9817) * Mozilla：与 fetch API 分段不符 (CVE-2019-9819) * Mozilla：DocShell 释放后使用 ChromeEventHandler (CVE-2019-9820) * Mozilla：在 XMLHttpRequest 中发现释放后使用 (CVE-2019-11691) * Mozilla：事件侦听管理器中移除侦听器的释放后使用 (CVE-2019-11692) * Mozilla：在 Linux 上，WebGL bufferdata 中存在缓冲区溢出 (CVE-2019-11693) * mozilla：使用 ImageBitmapRenderingContext 跨源窃取图像 (CVE-2018-18511) * Mozilla：Skia 中越界读取 (CVE-2019-5798) * Mozilla：通过将超链接拖放至书签，以及从书签拉出超链接，盗取用户历史数据 (CVE-2019-11698) * libpng：png.c 的 png_image_free 中存在释放后使用 (CVE-2019-7317) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

运行版本 CORE 5.04 / MAIN 5.04 的远程 NewStart CGSL 主机安装有受多个漏洞影响的 thunderbird 程序包：- 在 libpng 1.6.36 中，在 png.c 的 png_image_free 中存在释放后使用，因为在 png_safe_execute 中调用 png_image_free_function。(CVE-2019-7317) - 若将特制的超链接拖放到书签栏或侧边栏，再将产生的书签拖放到网络内容区，便可运行用户浏览器历史记录的任意查询，并通过拉出事件数据将其传输到内容页面。允许通过恶意网站窃取浏览器历史。此漏洞会影响 Thunderbird < 60.7、Firefox < 67 和 Firefox ESR < 60.7。(CVE-2019-11698) - 若在 73.0.3683.75 之前的 Google Chrome 的 Skia 中缺少正确的边界检查，则允许远程攻击者通过构造的 HTML 页面执行越界内存读取。(CVE-2019-5798) - 使用 transferFromImageBitmap 方法即可在违反同源策略的情况下，从画布元素读取跨源图像。*注意：这仅影响 Firefox 65。以前的版本不受影响。* 此漏洞影响 Firefox < 65.0.1。(CVE-2018-18511) - 在事件循环中处理 XMLHttpRequest (XHR) 时，会出现释放后使用漏洞，造成 XHR 主线程在释放后受到调用。这会导致潜在可利用的崩溃。此漏洞会影响 Thunderbird < 60.7、Firefox < 67 和 Firefox ESR < 60.7。(CVE-2019-11691) - 在仍处于使用状态下将侦听器从事件侦听管理器移除时，会出现释放后使用漏洞，进而导致可能可遭到恶意利用的崩溃。此漏洞会影响 Thunderbird < 60.7、Firefox < 67 和 Firefox ESR < 60.7。(CVE-2019-11692) - WebGL 中的 bufferdata 函数容易受到 Linux 上具有特定图像驱动程序的缓冲区溢出的影响。这可能导致恶意内容冻结标签，或触发可能可遭到恶意利用的崩溃。*注意：此问题只在 Linux 上发生。其他操作系统不受影响。* 此漏洞会影响 Thunderbird < 60.7、Firefox < 67 和 Firefox ESR < 60.7。(CVE-2019-11693) - 通过在使用 createImageBitmap 读取图像，然后在 canvas 元素内呈现产生的位图像之后导出图像，可能会在违反同源策略的情况下读取跨源图像。此漏洞会影响 Firefox < 66。(CVE-2019-9797) - Mozilla 开发人员、社区成员报告 Firefox 66、Firefox ESR 60.6 和 Thunderbird 60.6 中存在内存安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。此漏洞会影响 Thunderbird < 60.7、Firefox < 67 和 Firefox ESR < 60.7。(CVE-2019-9800) - 在某些情况下，可使用 canvas 对象读取来自不同域图像。在违反同源策略的情况下，可用以盗取不同站点的图像数据。此漏洞会影响 Thunderbird < 60.7、Firefox < 67 和 Firefox ESR < 60.7。(CVE-2019-9817) - 处理 fetch API 时，会发生 JavaScript 分段不符的漏洞，进而导致可能可遭到恶意利用的崩溃。此漏洞会影响 Thunderbird < 60.7、Firefox < 67 和 Firefox ESR < 60.7。(CVE-2019-9819) - 在仍处于使用状态下释放 chrome 事件处理程序时，会出现释放后使用漏洞。这会导致潜在可利用的崩溃。此漏洞会影响 Thunderbird < 60.7、Firefox < 67 和 Firefox ESR < 60.7。(CVE-2019-9820) 请注意，Nessus 并未针对此问题进行测试，而仅依赖应用程序自我报告的版本号。

远程主机受到 GLSA-201908-02 中所述漏洞的影响（libpng：多个漏洞）在 libpng 中发现多个漏洞。请检查下面供参考的 CVE 标识符以了解详细信息。影响：诱骗用户处理特制 PNG 文件的远程攻击者可能会造成拒绝服务情况。解决方法：目前无任何已知的解决方法。

java-1.8.0-ibm 的更新现在可用于 Red Hat Enterprise Linux 7 Supplementary。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。IBM Java SE 版本 8 包括 IBM Java Runtime Environment 和 IBM Java 软件开发工具包。此更新将 IBM Java SE 8 升级到版本 8 SR5-FP40。安全修复：* IBM JDK：String.getBytes 方法中的越界访问 (CVE-2019-11772) * IBM JDK：无法通过版本管理，将退出循环的值私有化 (CVE-2019-11775) * OpenJDK：在反序列化中，抑制异常检查不充分 (Utilities, 8212328) (CVE-2019-2762) * OpenJDK：在 Collections 中反序列化期间，发生无限制内存分配 (Utilities, 8213432) (CVE-2019-2769) * OpenJDK：缺少 URL 格式验证 (Networking, 8221518) (CVE-2019-2816) * OpenJDK：AccessController 权限限制不足（安全，8216381）(CVE-2019-2786) * libpng：png.c 中 png_image_free 的释放后使用 (CVE-2019-7317) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

java-1.8.0-ibm 的更新现在可用于 Red Hat Enterprise Linux 8。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。IBM Java SE 版本 8 包括 IBM Java Runtime Environment 和 IBM Java 软件开发工具包。此更新将 IBM Java SE 8 升级到版本 8 SR5-FP40。安全修复：* IBM JDK：String.getBytes 方法中的越界访问 (CVE-2019-11772) * IBM JDK：无法通过版本管理，将退出循环的值私有化 (CVE-2019-11775) * OpenJDK：在反序列化中，抑制异常检查不充分 (Utilities, 8212328) (CVE-2019-2762) * OpenJDK：在 Collections 中反序列化期间，发生无限制内存分配 (Utilities, 8213432) (CVE-2019-2769) * OpenJDK：缺少 URL 格式验证 (Networking, 8221518) (CVE-2019-2816) * OpenJDK：AccessController 权限限制不足（安全，8216381）(CVE-2019-2786) * libpng：png.c 中 png_image_free 的释放后使用 (CVE-2019-7317) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

java-1.8.0-ibm 的更新现在可用于 Red Hat Enterprise Linux 6 Supplementary。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。IBM Java SE 版本 8 包括 IBM Java Runtime Environment 和 IBM Java 软件开发工具包。此更新将 IBM Java SE 8 升级到版本 8 SR5-FP40。安全修复：* IBM JDK：String.getBytes 方法中的越界访问 (CVE-2019-11772) * IBM JDK：无法通过版本管理，将退出循环的值私有化 (CVE-2019-11775) * OpenJDK：在反序列化中，抑制异常检查不充分 (Utilities, 8212328) (CVE-2019-2762) * OpenJDK：在 Collections 中反序列化期间，发生无限制内存分配 (Utilities, 8213432) (CVE-2019-2769) * OpenJDK：缺少 URL 格式验证 (Networking, 8221518) (CVE-2019-2816) * OpenJDK：AccessController 权限限制不足（安全，8216381）(CVE-2019-2786) * libpng：png.c 中 png_image_free 的释放后使用 (CVE-2019-7317) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
289507	MagicLinux 4thunderbird-60.7.0-1.AXS4 (AXSA:2019-3898:02)	Nessus	Miracle Linux Local Security Checks	2026/1/16	2026/1/17	critical
125339	Ubuntu 16.04 LTS / 18.04 LTS：Firefox 漏洞 (USN-3991-1)	Nessus	Ubuntu Local Security Checks	2019/5/22	2024/8/27	critical
125343	Debian DSA-4448-1：firefox-esr - 安全更新	Nessus	Debian Local Security Checks	2019/5/23	2024/5/21	critical
125358	Mozilla Thunderbird < 60.7	Nessus	MacOS X Local Security Checks	2019/5/23	2025/11/18	critical
125361	Mozilla Firefox < 67.0	Nessus	Windows	2019/5/23	2025/11/18	critical
125383	RHEL 6 : firefox (RHSA-2019:1267)	Nessus	Red Hat Local Security Checks	2019/5/24	2024/11/6	critical
125385	RHEL 8 : firefox (RHSA-2019:1269)	Nessus	Red Hat Local Security Checks	2019/5/24	2024/11/6	critical
125443	Oracle Linux 7 : firefox (ELSA-2019-1265)	Nessus	Oracle Linux Local Security Checks	2019/5/28	2024/10/22	critical
125444	Oracle Linux 6 : firefox (ELSA-2019-1267)	Nessus	Oracle Linux Local Security Checks	2019/5/28	2024/10/22	critical
160365	IBM Java 7.0 < 7.0.10.50/7.1 < 7.1.4.50/8.0 < 8.0.5.40 多个漏洞	Nessus	Misc.	2022/4/29	2023/11/1	medium
159424	Amazon Corretto Java 8.x < 8.222.10.1 多个漏洞	Nessus	Misc.	2022/4/1	2023/11/3	medium
125690	RHEL 8 : thunderbird (RHSA-2019:1308)	Nessus	Red Hat Local Security Checks	2019/6/4	2024/11/7	critical
125803	CentOS 6：thunderbird (CESA-2019:1310)	Nessus	CentOS Local Security Checks	2019/6/11	2024/5/16	critical
127438	NewStart CGSL CORE 5.04 / MAIN 5.04：thunderbird 多个漏洞 (NS-SA-2019-0158)	Nessus	NewStart CGSL Local Security Checks	2019/8/12	2024/5/7	critical
127560	GLSA-201908-02：libpng：多个漏洞	Nessus	Gentoo Local Security Checks	2019/8/12	2024/5/7	high
128447	RHEL 7：java-1.8.0-ibm (RHSA-2019:2585)	Nessus	Red Hat Local Security Checks	2019/9/3	2024/11/6	critical
128449	RHEL 8：java-1.8.0-ibm (RHSA-2019:2590)	Nessus	Red Hat Local Security Checks	2019/9/3	2024/11/6	critical
128451	RHEL 6：java-1.8.0-ibm (RHSA-2019:2592)	Nessus	Red Hat Local Security Checks	2019/9/3	2024/11/6	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical

critical

medium

medium

critical

critical

critical

high

critical

critical

critical