远程主机受到 GLSA-202412-04（Mozilla Firefox：多个漏洞）中所述漏洞的影响

    在 Mozilla Firefox 中发现多个漏洞。请检查下方引用的 CVE 标识符以了解详细信息。

Tenable 已直接从 Gentoo Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Windows 主机上安装的 Firefox ESR 版本低于 115.15。因此，受到 mfsa2024-41 公告中提及的多个漏洞影响。

  - 如果在两次通过之间的正确时间点检测到 OOM 条件，JavaScript 垃圾回收器可能会为 cross-compartment 对象错误着色。这可导致内存损坏。(CVE-2024-8384)

  - 在用作 <code> 和 </code> 环境的对象上查找属性名称时，可能触发可遭利用的类型混淆。(CVE-2024-8381)

  - 当特权 EventHandler 侦听器回调运行于这些事件时，内部浏览器事件接口会暴露给 Web 内容。尝试使用这些界面的 Web 内容将无法获得提升的权限，但这些界面的存在表示某些浏览器功能已被启用，比如用户打开了 Dev Tools 控制台。(CVE-2024-8382)

  - Firefox 通常会要求确认，然后才会要求操作系统查找应用程序来处理浏览器不支持的方案。它在对 Usenet 相关方案 news: 和 snews: 这样做之前没有进行询问。由于大多数操作系统没有默认安装受信任的新闻阅读器，用户下载的恶意程序可以将自己注册为处理程序。提供应用程序下载的网站随后可以随时启动该应用程序。(CVE-2024-8383)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 macOS 或 Mac OS X 主机上安装的 Firefox ESR 版本低于 115.15。因此，受到 mfsa2024-41 公告中提及的多个漏洞影响。

  - 如果在两次通过之间的正确时间点检测到 OOM 条件，JavaScript 垃圾回收器可能会为 cross-compartment 对象错误着色。这可导致内存损坏。(CVE-2024-8384)

  - 在用作 <code> 和 </code> 环境的对象上查找属性名称时，可能触发可遭利用的类型混淆。(CVE-2024-8381)

  - 当特权 EventHandler 侦听器回调运行于这些事件时，内部浏览器事件接口会暴露给 Web 内容。尝试使用这些界面的 Web 内容将无法获得提升的权限，但这些界面的存在表示某些浏览器功能已被启用，比如用户打开了 Dev Tools 控制台。(CVE-2024-8382)

  - Firefox 通常会要求确认，然后才会要求操作系统查找应用程序来处理浏览器不支持的方案。它在对 Usenet 相关方案 news: 和 snews: 这样做之前没有进行询问。由于大多数操作系统没有默认安装受信任的新闻阅读器，用户下载的恶意程序可以将自己注册为处理程序。提供应用程序下载的网站随后可以随时启动该应用程序。(CVE-2024-8383)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Windows 主机上安装的 Thunderbird 版本低于 128.2。因此，该应用程序受到 mfsa2024-43 公告中提及的多个漏洞的影响。

  - Firefox 129、Firefox ESR 128.1 和 Thunderbird 128.1 中的内存安全缺陷。其中某些错误展示出内存损坏迹象，我们推测若攻击者付出足够努力，就能利用部分错误运行任意代码。(CVE-2024-8387)

  - 中止 OTR 聊天会话的验证时，攻击者可能已造成释放后使用缺陷，其可能会造成可利用的崩溃。(CVE-2024-8394)

  - WASM 的 StructFields 和 ArrayTypes 处理中存在差异，可被用来触发可利用的类型混淆漏洞。(CVE-2024-8385)

  - 在用作 <code> 和 </code> 环境的对象上查找属性名称时，可能触发可遭利用的类型混淆。(CVE-2024-8381)

  - 当特权 EventHandler 侦听器回调运行于这些事件时，内部浏览器事件接口会暴露给 Web 内容。尝试使用这些界面的 Web 内容将无法获得提升的权限，但这些界面的存在表示某些浏览器功能已被启用，比如用户打开了 Dev Tools 控制台。(CVE-2024-8382)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 20.04 LTS/22.04 LTS 主机上安装的程序包受到 USN-6995-1 公告中提及的多个漏洞的影响。

    在 Thunderbird 中发现多个安全问题。如果用户受到诱骗在浏览环境下打开特别构建的网站，攻击者可能利用这些问题造成拒绝服务、获取敏感信息、绕过安全限制或执行任意代码。（CVE-2024-7521、CVE-2024-7526、CVE-2024-7527、CVE-2024-7529、CVE-2024-8382）

    已发现 Thunderbird 在处理图形共享内存时，未能正确管理某些内存操作。攻击者可能利用此问题避开沙盒。
    (CVE-2024-7519)

    Irvan Kurniawan 发现 Thunderbird 未正确检查编辑器组件中的属性值，从而导致越界读取漏洞。攻击者可能利用此问题造成拒绝服务或暴露敏感信息。(CVE-2024-7522)

    Rob Wu 发现 Thunderbird 在创建 StreamFilter 时未正确检查权限。攻击者可能利用此问题修改任何使用 Web 扩展的站点上请求的响应正文。(CVE-2024-7525)

    Nils Bars 发现 Thunderbird 在执行某些属性名称查找时，包含类型混淆漏洞。攻击者可利用此问题造成拒绝服务或执行任意代码。(CVE-2024-8381)

    据发现，Thunderbird 在垃圾回收期间未能正确管理内存。攻击者可利用此问题造成拒绝服务或执行任意代码。
    (CVE-2024-8384)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2024:6719 公告中提及的多个漏洞的影响。

    Mozilla Thunderbird 是独立的邮件和新闻组客户端。

    安全修复：

    * thunderbird: 115.15/128.2 ()

    * mozilla：在 with 区块中查找属性名称时会发生类型混淆问题 (CVE-2024-8381)

    * mozilla：当浏览器的 EventHandler 侦听器回调运行时，内部事件接口会暴露给 Web 内容  (CVE-2024-8382)

    * mozilla：在 OOM 情况下，垃圾收集功能可能会错误标记跨区间对象 (CVE-2024-8384)

    * mozilla：涉及 ArrayTypes 的 WASM 类型混淆 (CVE-2024-8385)

    * mozilla：如果允许弹出窗口，则 SelectElements 可显示在其他站点上 (CVE-2024-8386)

    * mozilla: 已在 Firefox 130、Firefox ESR 128.2 和 Thunderbird 128.2 中修复的内存安全缺陷 (CVE-2024-8387)

    * thunderbird：中止 OTR chat 验证时会发生崩溃 (CVE-2024-8394)

    * mozilla：JavaScript Engine 中 Async Generators 的类型混淆问题 (CVE-2024-7652)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 9 主机上安装的程序包受到 RHSA-2024:6722 公告中提及的多个漏洞的影响。

    Mozilla Thunderbird 是独立的邮件和新闻组客户端。

    安全修复：

    * thunderbird: 115.15/128.2 ()

    * mozilla：在 with 区块中查找属性名称时会发生类型混淆问题 (CVE-2024-8381)

    * mozilla：当浏览器的 EventHandler 侦听器回调运行时，内部事件接口会暴露给 Web 内容  (CVE-2024-8382)

    * mozilla：在 OOM 情况下，垃圾收集功能可能会错误标记跨区间对象 (CVE-2024-8384)

    * mozilla：涉及 ArrayTypes 的 WASM 类型混淆 (CVE-2024-8385)

    * mozilla：如果允许弹出窗口，则 SelectElements 可显示在其他站点上 (CVE-2024-8386)

    * mozilla: 已在 Firefox 130、Firefox ESR 128.2 和 Thunderbird 128.2 中修复的内存安全缺陷 (CVE-2024-8387)

    * thunderbird：中止 OTR chat 验证时会发生崩溃 (CVE-2024-8394)

    * mozilla：JavaScript Engine 中 Async Generators 的类型混淆问题 (CVE-2024-7652)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 8 主机上安装的一个程序包受到 ELSA-2024-6684 公告中提及的多个漏洞影响。

    [128.2.0-1.0.2]
    - 修复新 nss 的 prefs [Orabug: 37079820]

    [128.2.0-1.0.1]
    - 添加 Oracle prefs 文件

    [128.2.0]
    - 添加 OpenELA 品牌去除

    [128.2.0-1]
    - 更新到 128.2.0

    [128.1.1-2]
    - 更新到 128.1.1

    [128.0-1]
    - 更新到 128.0 最终版

    [128.0b4-1]
    - 更新到 128.0b4

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 thunderbird 版本低于 115.15.0-1。因此，它受到 ALAS2-2024-2638 公告中提及的多个漏洞影响。

    ECMA-262 规范中与异步发生器相关的错误，可导致类型混淆，从而可能导致内存损坏和可利用的崩溃。此漏洞会影响 Firefox < 128、Firefox ESR < 115.13、Thunderbird < 115.13 和 Thunderbird < 128。(CVE-2024-7652)

    - 在用作 `with` 环境的对象上查找属性名称时，可能触发可遭利用的类型混淆。此漏洞会影响 Firefox < 130、Firefox ESR < 128.2 和 Firefox ESR < 115.15。(CVE-2024-8381)

    - 当特权 EventHandler 侦听器回调运行于这些事件时，内部浏览器事件接口会暴露给 Web 内容。尝试使用这些界面的 Web 内容将无法获得提升的权限，但这些界面的存在表示某些浏览器功能已被启用，比如用户打开了 Dev Tools 控制台。此漏洞会影响 Firefox < 130、Firefox ESR < 128.2 和 Firefox ESR < 115.15。(CVE-2024-8382)

    - 如果在两次通过之间的正确时间点检测到 OOM 条件，JavaScript 垃圾回收器可能会为 cross-compartment 对象错误着色。这可导致内存损坏。此漏洞会影响 Firefox < 130、Firefox ESR < 128.2 和 Firefox ESR < 115.15。(CVE-2024-8384)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 7 主机上安装的一个程序包受到 ELSA-2024-6838 公告中提及的多个漏洞影响。

    [128.2.0-1.0.1]
    - 从中止调用中删除 nomerge 注释 [Orabug: 37079143]
    - 更新到 128.2.0 [Orabug: 37079143]

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程iraclelinux 9 主机上存在安装的程序包该程序包受到 AXSA:2024-8860:21 公告中提及的多个漏洞的影响。

    * thunderbird: 115.15/128.2 ()
      * mozilla：在 with 区块中查找属性名称时会发生类型混淆问题 (CVE-2024-8381)
      * mozilla：当浏览器的 EventHandler 侦听器回调运行时，内部事件接口会暴露给 Web 内容  (CVE-2024-8382)
      * mozilla：在 OOM 情况下，垃圾收集功能可能会错误标记跨区间对象 (CVE-2024-8384)
      * mozilla：涉及 ArrayTypes 的 WASM 类型混淆 (CVE-2024-8385)
      * mozilla：如果允许弹出窗口，则 SelectElements 可显示在其他站点上 (CVE-2024-8386)
      * mozilla: 已在 Firefox 130、Firefox ESR 128.2 和 Thunderbird 128.2 中修复的内存安全缺陷 (CVE-2024-8387)
      * thunderbird：中止 OTR chat 验证时会发生崩溃 (CVE-2024-8394)
      * mozilla：JavaScript Engine 中 Async Generators 的类型混淆问题 (CVE-2024-7652)

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Rocky Linux 9 主机上存在安装的程序包，该程序包受到 CIQ crlsa-2024_6681 公告中提及的多个漏洞的影响。

    * firefox：115.15/128.2 ESR ()

    * mozilla：在 with 区块中查找属性名称时会发生类型混淆问题 (CVE-2024-8381)

    * mozilla：当浏览器的 EventHandler 侦听器回调运行时，内部事件接口会暴露给 Web 内容 (CVE-2024-8382)

    * mozilla：Firefox 未在打开外部应用程序中的 news: 链接之前进行询问 (CVE-2024-8383)

    * mozilla：在 OOM 情况下，垃圾收集功能可能会错误标记跨区间对象 (CVE-2024-8384)

    * mozilla：涉及 ArrayTypes 的 WASM 类型混淆 (CVE-2024-8385)

    * mozilla：如果允许弹出窗口，则 SelectElements 可显示在其他站点上 (CVE-2024-8386)

    * mozilla: 已在 Firefox 130、Firefox ESR 128.2 和 Thunderbird 128.2 中修复的内存安全缺陷 (CVE-2024-8387)

    * mozilla：JavaScript Engine 中 Async Generators 的类型混淆问题 (CVE-2024-7652)

Tenable 已直接从 CIQ 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
212185	GLSA-202412-04：Mozilla Firefox：多个漏洞	Nessus	Gentoo Local Security Checks	2024/12/9	2024/12/9	critical
206468	Mozilla Firefox ESR < 115.15	Nessus	Windows	2024/9/3	2025/11/18	critical
206469	Mozilla Firefox ESR < 115.15	Nessus	MacOS X Local Security Checks	2024/9/3	2025/11/18	critical
206742	Mozilla Thunderbird < 128.2	Nessus	Windows	2024/9/6	2025/11/18	critical
206776	Ubuntu 20.04 LTS / 22.04 LTS：Thunderbird 漏洞 (USN-6995-1)	Nessus	Ubuntu Local Security Checks	2024/9/9	2025/2/3	critical
207355	RHEL 8：thunderbird (RHSA-2024:6719)	Nessus	Red Hat Local Security Checks	2024/9/17	2025/2/3	critical
207357	RHEL 9：thunderbird (RHSA-2024:6722)	Nessus	Red Hat Local Security Checks	2024/9/17	2025/2/3	critical
207435	Oracle Linux 8：thunderbird (ELSA-2024-6684)	Nessus	Oracle Linux Local Security Checks	2024/9/19	2025/9/11	critical
208111	Amazon Linux 2：thunderbird (ALAS-2024-2638)	Nessus	Amazon Linux Local Security Checks	2024/10/3	2025/2/3	critical
209645	Oracle Linux 7：firefox (ELSA-2024-6838)	Nessus	Oracle Linux Local Security Checks	2024/10/25	2025/9/11	critical
293464	iracleLinux 9thunderbird-128.2.0-1.el9_4.ML.1 (AXSA:2024-8860:21)	Nessus	Miracle Linux Local Security Checks	2026/1/20	2026/1/20	critical
354579	Rocky Linux 9 [CIQ] 安全更新：firefox / firefox-debuginfo / firefox-debugsource / firefox-x11 多种漏洞（crlsa-2024_6681）	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical