远程 Oracle Linux 7 主机上安装的一个程序包受到 ELSA-2023-0812 公告中提及的多个漏洞的影响。

  - 仅对 <code>ContentPrincipals</code> 显示打开外部方案的权限提示，导致扩展无需用户通过 <code>ExpandedPrincipals</code> 打开。这可导致进一步的恶意操作，例如下载文件或与系统上已安装的软件交互。 (CVE-2023-25729)

  - Mozilla：Firefox Focus 中未显示全屏通知 (CVE-2023-25743)

  - 从 <code>nsTextNode</code> 到 <code>SVGElement</code> 的无效向下转换可导致未定义的行为。 (CVE-2023-25737)

  - 将 SPKI RSA 公钥导入为 ECDSA P-256 时，可能未正确处理密钥，导致选项卡崩溃。 (CVE-2023-25742)

  - 当对 <code>xpcom</code> 中的 <code>inputStream</code> 数据进行编码时，未正确计算被编码输入的大小，这可能导致越界内存写入。
    (CVE-2023-25732)

  - Mozilla 开发人员 Philipp 和 Gabriele Svelto 报告 Thunderbird 102.7 中存在内存安全错误。
    其中某些错误展示出内存损坏迹象，我们推测若攻击者付出足够努力，就能利用部分错误运行任意代码。(CVE-2023-25746)

  - 攻击者可以通过错误处理的 PKCS 12 Safe Bag 属性，以允许进行任意内存写入的方式构建 PKCS 12 证书捆绑包。(CVE-2023-0767)

  - Mozilla：使用 iframe 可在违规报告中泄漏内容安全策略 (CVE-2023-25728)

  - 调用 <code>requestFullscreen</code> 然后阻断主线程的后台脚本可强制浏览器无限期进入全屏模式，从而可能导致用户混淆或欺骗攻击。
    (CVE-2023-25730)

  - 包装脚本化代理的跨隔离舱封装程序可导致将其他隔离舱中的对象存储在主隔离舱中，从而导致解包代理后发生释放后使用。
    (CVE-2023-25735)

  - 未检查失败的模块加载请求是否已取消，从而导致 <code>ScriptLoadContext</code> 中发生释放后使用。(CVE-2023-25739)

  - Mozilla 开发人员 Kershaw Chang 及 Mozilla Fuzzing 团队报告 Firefox 109 与 Firefox ESR 102.7 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测若攻击者付出足够努力，就能利用部分错误运行任意代码。(CVE-2023-25744)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Rocky Linux 8 主机上安装的多个程序包受到 RLSA-2023:0808 公告中提及的多个漏洞影响。

  - Mozilla 开发人员 Philipp 和 Gabriele Svelto 报告 Firefox ESR 102.7 中存在的内存安全错误。
    其中某些错误展示出内存损坏迹象，我们推测如果攻击者进行足够的尝试，则可以利用此漏洞运行任意代码。此漏洞会影响 Thunderbird < 102.8 和 Firefox ESR < 102.8。(CVE-2023-25746)

  - 攻击者可以通过错误处理的 PKCS 12 Safe Bag 属性，以允许进行任意内存写入的方式构建 PKCS 12 证书捆绑包。此漏洞会影响 Firefox < 110、Thunderbird < 102.8 和 Firefox ESR < 102.8。(CVE-2023-0767)

  - 当与 iframe 交互触发重定向时，<code>Content-Security-Policy-Report-Only</code> 标头可允许攻击者泄漏子 iframe 的未编辑 URI。此漏洞会影响 Firefox < 110、Thunderbird < 102.8 和 Firefox ESR < 102.8。(CVE-2023-25728)

  - 仅对 <code>ContentPrincipals</code> 显示打开外部方案的权限提示，导致扩展无需用户通过 <code>ExpandedPrincipals</code> 打开。这可导致进一步的恶意操作，例如下载文件或与系统上已安装的软件交互。此漏洞会影响 Firefox < 110、Thunderbird < 102.8 和 Firefox ESR < 102.8。(CVE-2023-25729)

  - 调用 <code>requestFullscreen</code> 然后阻断主线程的后台脚本可强制浏览器无限期进入全屏模式，从而可能导致用户混淆或欺骗攻击。
    此漏洞会影响 Firefox < 110、Thunderbird < 102.8 和 Firefox ESR < 102.8。(CVE-2023-25730)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Rocky Linux 9 主机上安装的多个程序包受到 RLSA-2023:0810 公告中提及的多个漏洞影响。

  - Mozilla 开发人员 Philipp 和 Gabriele Svelto 报告 Firefox ESR 102.7 中存在的内存安全错误。
    其中某些错误展示出内存损坏迹象，我们推测如果攻击者进行足够的尝试，则可以利用此漏洞运行任意代码。此漏洞会影响 Thunderbird < 102.8 和 Firefox ESR < 102.8。(CVE-2023-25746)

  - 攻击者可以通过错误处理的 PKCS 12 Safe Bag 属性，以允许进行任意内存写入的方式构建 PKCS 12 证书捆绑包。此漏洞会影响 Firefox < 110、Thunderbird < 102.8 和 Firefox ESR < 102.8。(CVE-2023-0767)

  - 当与 iframe 交互触发重定向时，<code>Content-Security-Policy-Report-Only</code> 标头可允许攻击者泄漏子 iframe 的未编辑 URI。此漏洞会影响 Firefox < 110、Thunderbird < 102.8 和 Firefox ESR < 102.8。(CVE-2023-25728)

  - 仅对 <code>ContentPrincipals</code> 显示打开外部方案的权限提示，导致扩展无需用户通过 <code>ExpandedPrincipals</code> 打开。这可导致进一步的恶意操作，例如下载文件或与系统上已安装的软件交互。此漏洞会影响 Firefox < 110、Thunderbird < 102.8 和 Firefox ESR < 102.8。(CVE-2023-25729)

  - 调用 <code>requestFullscreen</code> 然后阻断主线程的后台脚本可强制浏览器无限期进入全屏模式，从而可能导致用户混淆或欺骗攻击。
    此漏洞会影响 Firefox < 110、Thunderbird < 102.8 和 Firefox ESR < 102.8。(CVE-2023-25730)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 AlmaLinux 9 主机上安装的一个程序包受到 ALSA-2023:0824 公告中提及的多个漏洞的影响。

  - Mozilla: 合并 S/MIME 和 OpenPGP 的消息导致用户界面锁定 (CVE-2023-0616)

  - 攻击者可以通过错误处理的 PKCS 12 Safe Bag 属性，以允许进行任意内存写入的方式构建 PKCS 12 证书捆绑包。(CVE-2023-0767)

  - Mozilla：使用 iframe 可在违规报告中泄漏内容安全策略 (CVE-2023-25728)

  - 仅对 <code>ContentPrincipals</code> 显示打开外部方案的权限提示，导致扩展无需用户通过 <code>ExpandedPrincipals</code> 打开。这可导致进一步的恶意操作，例如下载文件或与系统上已安装的软件交互。 (CVE-2023-25729)

  - 调用 <code>requestFullscreen</code> 然后阻断主线程的后台脚本可强制浏览器无限期进入全屏模式，从而可能导致用户混淆或欺骗攻击。
    (CVE-2023-25730)

  - 当对 <code>xpcom</code> 中的 <code>inputStream</code> 数据进行编码时，未正确计算被编码输入的大小，这可能导致越界内存写入。
    (CVE-2023-25732)

  - 包装脚本化代理的跨隔离舱封装程序可导致将其他隔离舱中的对象存储在主隔离舱中，从而导致解包代理后发生释放后使用。
    (CVE-2023-25735)

  - 从 <code>nsTextNode</code> 到 <code>SVGElement</code> 的无效向下转换可导致未定义的行为。 (CVE-2023-25737)

  - 未检查失败的模块加载请求是否已取消，从而导致 <code>ScriptLoadContext</code> 中发生释放后使用。(CVE-2023-25739)

  - 将 SPKI RSA 公钥导入为 ECDSA P-256 时，可能未正确处理密钥，导致选项卡崩溃。 (CVE-2023-25742)

  - Mozilla：Firefox Focus 中未显示全屏通知 (CVE-2023-25743)

  - Mozilla 开发人员 Kershaw Chang 及 Mozilla Fuzzing 团队报告 Firefox 109 与 Firefox ESR 102.7 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测若攻击者付出足够努力，就能利用部分错误运行任意代码。(CVE-2023-25744)

  - Mozilla 开发人员 Philipp 和 Gabriele Svelto 报告 Thunderbird 102.7 中存在内存安全错误。
    其中某些错误展示出内存损坏迹象，我们推测若攻击者付出足够努力，就能利用部分错误运行任意代码。(CVE-2023-25746)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程iraclelinux 9 主机上存在安装的程序包该程序包受到 AXSA:2023-5134:09 公告中提及的多个漏洞的影响。

    * Mozilla通过 NSS 中的 PKCS 12 进行任意内存写入 (CVE-2023-0767)
      * Mozilla在使用 iframe 的违规报告中发现内容安全策略泄漏 (CVE-2023-25728)
      * Mozilla通过浏览器全屏模式进行屏幕劫持 (CVE-2023-25730)
      * MozillaSpiderMonkey 中因隔离舱不匹配而导致的潜在释放后使用 (CVE-2023-25735)
      * MozillaSVGUtils::SetupStrokeGeometry 中的无效向下转换 (CVE-2023-25737)
      * Mozillamozilla::dom::ScriptLoadContext::~ScriptLoadContext 中的释放后使用 (CVE-2023-25739)
      * MozillaFirefox Focus 中未显示全屏通知 (CVE-2023-25743)
      * MozillaFirefox 110 和 Firefox ESR 中修复了内存安全缺陷 102.8 (CVE-2023-25744)
      * MozillaFirefox ESR 中修复了内存安全缺陷 102.8 (CVE-2023-25746)
      * Mozilla扩展可能在用户不知情的情况下打开外部方案 (CVE-2023-25729)
      * Mozilla从 EncodeInputStream 进行越界内存写入 (CVE-2023-25732)
      * MozillaWeb Crypto ImportKey 选项卡崩溃 (CVE-2023-25742)

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
171675	Oracle Linux 7：firefox (ELSA-2023-0812)	Nessus	Oracle Linux Local Security Checks	2023/2/21	2024/10/22	high
171745	Rocky Linux 8：firefox (RLSA-2023:0808)	Nessus	Rocky Linux Local Security Checks	2023/2/21	2023/9/1	high
171751	Rocky Linux 9：firefox (RLSA-2023:0810)	Nessus	Rocky Linux Local Security Checks	2023/2/21	2023/11/7	high
171856	AlmaLinux 9：thunderbird (ALSA-2023:0824)	Nessus	Alma Linux Local Security Checks	2023/2/23	2023/9/1	high
293044	MagicLinux 9firefox-102.8.0-2.el9.ML.1 (AXSA:2023-5134:09)	Nessus	Miracle Linux Local Security Checks	2026/1/20	2026/1/20	high

检测

插件搜索

high

high

high

high

high