遠端 Windows 主機上安裝的 Firefox ESR 31.x 版本比 31.2 舊。因此受到以下弱點影響：

- 瀏覽器引擎中存有多個記憶體安全瑕疵。透過惡意利用這些瑕疵，攻擊者可能引發拒絕服務或執行任意程式碼。(CVE-2014-1574、CVE-2014-1575)

- 在 CSS 剖析期間發生大寫樣式變更時存在緩衝區溢位弱點。
 (CVE-2014-1576)

- 使用無效的值自訂波形時，Web Audio 元件中存有超出邊界讀取錯誤，可導致拒絕服務或資訊洩漏。(CVE-2014-1577)

- 處理「WebM」格式視訊中的無效圖標大小時存有超出邊界寫入錯誤，可導致任意程式碼執行。(CVE-2014-1578)

- 在文字配置中使用文字指示時，「DirectionalityUtils」元件中存在釋放後使用錯誤，可導致任意程式碼執行。(CVE-2014-1581)

- 存在一個錯誤，可造成惡意應用程式使用「AlarmAPI」讀取跨來源參照，並且可能允許繞過同源原則。
 (CVE-2014-1583)

- 工作階段正在「iframe」元素中執行時，WebRTC 中存有多個問題，將允許存取工作階段，即使在共用已停止以及傳回至網站時，也是如此。這可能導致不慎共用視訊。(CVE-2014-1585、CVE-2014-1586)

Mozilla Project 報告：

MFSA 2014-74 其他記憶體安全性危險 (rv:33.0 / rv:31.2)

MFSA 2014-75 操控 CSS 期間出現緩衝區溢位

MFSA 2014-76 Web Audio 在自訂波形時出現記憶體損毀問題

MFSA 2014-78 GIF 期間進一步使用未初始化記憶體

MFSA 2014-79 與文字方向互動時發生釋放後使用

MFSA 2014-80 金鑰釘選繞過

MFSA 2014-81 iframe 中不一致的視訊共用問題

MFSA 2014-82 透過警示 API 存取跨來源物件

在 Iceweasel (Mozilla Firefox 網頁瀏覽器的 Debian 版本) 中發現多個安全性問題：多個記憶體安全性錯誤、整數溢位、釋放後使用與其他實作錯誤，可導致任意程式碼執行、拒絕服務、繞過同源原則或缺乏隱私權。

此更新將 Iceweasel 更新至 Firefox 的 ESR31 系列。新版本引入了一個新的使用者介面。

此外，本更新也會停用 SSLv3。

- Thunderbird 31.2.0 的更新 (bnc#900941)

- MFSA 2014-74/CVE-2014-1574 其他記憶體安全危險

- MFSA 2014-75/CVE-2014-1576 (bmo#1041512) 操控 CSS 時出現緩衝區溢位

- MFSA 2014-76/CVE-2014-1577 (bmo#1012609) Web Audio 在自訂波形時有記憶體損毀問題

- MFSA 2014-77/CVE-2014-1578 (bmo#1063327) WebM 影片有超出邊界寫入問題

- MFSA 2014-79/CVE-2014-1581 (bmo#1068218) 與文字方向互動時有釋放後使用

- MFSA 2014-81/CVE-2014-1585/CVE-2014-1586 (bmo#1062876、bmo#1062981) iframe 內有不一致的影片共用問題

seamonkey 已更新至 2.31 版，可修正 20 個安全性問題。

已修正這些安全性問題：

- 其他記憶體安全危險 (CVE-2014-1587、 CVE-2014-1588)。

- 透過不當 CSS 宣告可存取 XBL 繫結 (CVE-2014-1589)。

- 部分輸入資料流造成 XMLHttpRequest 損毀 (CVE-2014-1590)。

- CSP 透過違規報告洩漏重新導向資料 (CVE-2014-1591)。

- 剖析 HTML5 時出現釋放後使用錯誤 (CVE-2014-1592)。

- 剖析媒體內容時出現緩衝區溢位 (CVE-2014-1593)。

- 從 BasicThebesLayer 到 BasicContainerLayer 的轉換錯誤 (CVE-2014-1594)。

- 其他記憶體安全危險 (CVE-2014-1574、 CVE-2014-1575)。

- CSS 操控期間發生緩衝區溢位 (CVE-2014-1576)。

- 自訂 waveform 的 Web 音訊記憶體損毀問題 (CVE-2014-1577)。

- WebM 視訊的超出邊界寫入問題 (CVE-2014-1578)。

- GIF 轉譯期間進一步使用未初始化記憶體 (CVE-2014-1580)。

- 與文字方向互動時發生釋放後使用 (CVE-2014-1581)。

- 金鑰釘選繞過 (CVE-2014-1582、CVE-2014-1584)。

- iframe 中不一致的視訊共用 (CVE-2014-1585、CVE-2014-1586)。

- 透過警示 API 存取跨來源物件 (只有已安裝的 web 應用程式會受影響) (CVE-2014-1583)。

已修正此非安全性問題：

- 將 /usr/share/myspell 定義為其他目錄位置，並於最後移除 add-plugins.sh (bnc#900639)。

Mozilla Firefox to 31.2.0ESR 的此版更新提供了改进、稳定性补丁以及针对以下 CVE 的安全补丁：

CVE-2014-1574、CVE-2014-1575、CVE-2014-1576、CVE-2014-1577、CVE-2014-1578、CVE-2014-1581、CVE-2014-1583、CVE-2014-1585、CVE-2014-1586

同时默认禁用 SSLv3，以缓解协议降级攻击 POODLE。

请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程主机上安装的 Thunderbird 的版本低于 31.2。因此，它受到以下漏洞的影响：

- 浏览器引擎中存在多种内存安全缺陷。攻击者可利用这些缺陷造成拒绝服务或执行任意代码。（CVE-2014-1574、CVE-2014-1575）

- 在 CSS 解析期间更改大写样式时存在一个缓冲区溢出漏洞。
 (CVE-2014-1576)

- 在自定义波形中使用无效值时，Web 音频组件中存在越界读取错误，可导致拒绝服务或信息泄露。(CVE-2014-1577)

- 处理“WebM”格式的视频中的无效平铺大小时存在越界写入错误，可导致任意代码执行。(CVE-2014-1578)

- 在文本布局中使用文本方向时，“DirectionalityUtils”组件中存在一个释放后使用错误，可导致任意代码执行。(CVE-2014-1581)

- 在“iframe”元素之内运行会话时，WebRTC 中存在多种问题，可使会话即使是在停止共享和返回网站时仍处于可访问状态。这可能导致无意中共享视频。（CVE-2014-1585、CVE-2014-1586）

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 33.0之前的 Mozilla Firefox、 31.2之前的 Firefox ESR 31.x 以及 [ 31.x 之前的 Thunderbird  31.2 中的 nsTransformedTextRun 函数中存在基于堆的缓冲区溢出，允许远程攻击者通过触发 的层叠样式表 (CSS) 标记序列执行任意代码。更改为大写样式。
    (CVE-2014-1576)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Redhat Enterprise Linux 6 / 7 主机上安装的程序包受到 RHSA-2014:1635 公告中提及的多个漏洞影响。

    Mozilla Firefox 是一款开源网页浏览器。XULRunner 提供用于 Mozilla Firefox 的 XUL Runtime 环境。

    在对畸形 Web 内容的处理中发现多个缺陷。包含恶意内容的网页可导致 Firefox 崩溃，或者可能以运行 Firefox 的用户的权限执行任意代码。 （CVE-2014-1574、 CVE-2014-1578、 CVE-2014-1581、 CVE-2014-1576、 CVE-2014-1577）

    在 Alarm API 中发现一个缺陷，该缺陷允许应用程序计划要以后来运行的操作。恶意 Web 应用程序可利用此缺陷绕过跨源限制。 (CVE-2014-1583)

    Red Hat 在此感谢 Mozilla 项目报告这些问题。
    上游感谢这些问题的原始报告者 Bobby Holley、Christian Holler、David Bolter、Byron Campen Jon Coppeard、Atte Kettunen、Holger Fuhrmannek、Abhishek Arya、regenrecht 和 Boris Zbarsky。

    有关这些缺陷的技术详细信息，请参阅 Firefox 31.2.0 ESR 的 Mozilla 安全公告。在本勘误表的“参考”部分可以找到 Mozilla 公告的链接。

    所有 Firefox 用户应升级这些更新后的程序包，其中包含已修正了这些问题的 Firefox 版本 31.2.0 ESR。安装更新后，必须重新启动 Firefox 才能使更改生效。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

更新后的 firefox 程序包修复了多种安全问题，现在可用于Red Hat Enterprise Linux 5、6 和 7。

Red Hat 产品安全团队将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Mozilla Firefox 是一款开源 Web 浏览器。XULRunner 提供用于 Mozilla Firefox 的 XUL Runtime 环境。

在对畸形 Web 内容的处理中发现多个缺陷。包含恶意内容的网页可导致 Firefox 崩溃，或者可能以运行 Firefox 的用户的权限执行任意代码。（CVE-2014-1574、CVE-2014-1578、CVE-2014-1581、CVE-2014-1576、CVE-2014-1577）

在 Alarm API 中发现一个缺陷，该缺陷允许应用程序计划要以后来运行的操作。恶意 Web 应用程序可利用此缺陷绕过跨源限制。
(CVE-2014-1583)

Red Hat 在此感谢 Mozilla 项目报告这些问题。上游感谢这些问题的原始报告者 Bobby Holley、Christian Holler、David Bolter、Byron Campen Jon Coppeard、Atte Kettunen、Holger Fuhrmannek、Abhishek Arya、regenrecht 和 Boris Zbarsky。

有关这些缺陷的技术详细信息，请参阅 Firefox 31.2.0 ESR 的 Mozilla 安全公告。在本勘误表的“参考”部分可以找到 Mozilla 公告的链接。

所有 Firefox 用户应升级这些更新后的程序包，其中包含已修正了这些问题的 Firefox 版本 31.2.0 ESR。安装更新后，必须重新启动 Firefox 才能使更改生效。

- 更新到 Thunderbird 31.2.0 (bnc#900941)

- MFSA 2014-74/CVE-2014-1574 多项内存安全危害

- MFSA 2014-75/CVE-2014-1576 (bmo#1041512) 在 CSS 操纵期间存在缓冲区溢出

- MFSA 2014-76/CVE-2014-1577 (bmo#1012609) 具有自定义波形的 Web 音频内存损坏问题

- MFSA 2014-77/CVE-2014-1578 (bmo#1063327) 具有 WebM 视频的越界写入

- MFSA 2014-79/CVE-2014-1581 (bmo#1068218) 与文本方向性交互的释放后使用

- MFSA 2014-81/CVE-2014-1585/CVE-2014-1586（bmo#1062876、bmo#1062981）iframe 内的视频共享不一致

在对畸形 Web 内容的处理中发现多个缺陷。包含恶意内容的网页可导致 Firefox 崩溃，或者可能以运行 Firefox 的用户的权限执行任意代码。（CVE-2014-1574、CVE-2014-1578、CVE-2014-1581、CVE-2014-1576、CVE-2014-1577）

在 Alarm API 中发现一个缺陷，该缺陷允许应用程序计划要以后来运行的操作。恶意 Web 应用程序可利用此缺陷绕过跨源限制。
(CVE-2014-1583)

安装更新后，必须重新启动 Firefox 才能使更改生效。

Versions of Mozilla Firefox earlier than 33.0 are unpatched for the following vulnerabilities :

 - Buffer overflow vulnerability exists when capitalization style changes occur during CSS parsing. (CVE-2014-1576)
 - Out-of-bounds read error in the Web Audio component when invalid values are used in custom waveforms can lead to denial of service or information disclosure. (CVE-2014-1577)
 - Out-of-bounds write error when processing invalid tile sizes in 'WebM' format videos can be leveraged for arbitrary code execution. (CVE-2014-1578)
 - Memory is not properly initialized during GIF rendering within a '<canvas>' element, which can be leveraged via a specially crafted web script to acquire sensitive information from the process memory. (CVE-2014-1580)
 - Use-after-free error in the 'DirectionalityUtils' component when text direction is used in the text layout can be leveraged for arbitrary code execution. (CVE-2014-1581)
 - Multiple security bypass vulnerabilities exist in the implementation of Public Key Pinning (PKP); one issue can be triggered via SPDY's or HTTP/2's connection-coalescing property in the case of a shared IP address, and another issue is exposed by an unspecified issuer-verification error. Both scenarios can be leveraged for man-in-the-middle attacks. Note that key pinning was introduced in Firefox 32. (CVE-2014-1582, CVE-2014-1584)
 - A cross-origin policy bypass exists that could allow a malicious app to use 'AlarmAPI' to read cross-origin references and possibly perform unauthorized actions through the victim user's session. (CVE-2014-1583)
 - Multiple issues exist in WebRTC when the session is running within an 'iframe' element that will allow the session to be accessible even when sharing is stopped and when returning to the website. This could result in the video inadvertently being shared. (CVE-2014-1585, CVE-2014-1586)
 - Multiple memory safety flaws exist within the browser engine, which can likely be leveraged for denial of service or arbitrary code execution. (CVE-2014-1574, CVE-2014-1575)

Versions of Mozilla Firefox ESR prior to 31.1 are unpatched for the following vulnerabilities :

 - Buffer overflow vulnerability exists when capitalization style changes occur during CSS parsing. (CVE-2014-1576)
 - Out-of-bounds read error in the Web Audio component when invalid values are used in custom waveforms can lead to denial of service or information disclosure. (CVE-2014-1577)
 - Out-of-bounds write error when processing invalid tile sizes in 'WebM' format videos can be leveraged for arbitrary code execution. (CVE-2014-1578)
 - Memory is not properly initialized during GIF rendering within a '<canvas>' element, which can be leveraged via a specially crafted web script to acquire sensitive information from the process memory. (CVE-2014-1580)
 - Use-after-free error in the 'DirectionalityUtils' component when text direction is used in the text layout can be leveraged for arbitrary code execution. (CVE-2014-1581)
 - Multiple security bypass vulnerabilities exist in the implementation of Public Key Pinning (PKP); one issue can be triggered via SPDY's or HTTP/2's connection-coalescing property in the case of a shared IP address, and another issue is exposed by an unspecified issuer-verification error. Both scenarios can be leveraged for man-in-the-middle attacks. Note that key pinning was introduced in Firefox 32. (CVE-2014-1582, CVE-2014-1584)
 - A cross-origin policy bypass exists that could allow a malicious app to use 'AlarmAPI' to read cross-origin references and possibly perform unauthorized actions through the victim user's session. (CVE-2014-1583)
 - Multiple issues exist in WebRTC when the session is running within an 'iframe' element that will allow the session to be accessible even when sharing is stopped and when returning to the website. This could result in the video inadvertently being shared. (CVE-2014-1585, CVE-2014-1586)
 - Multiple memory safety flaws exist within the browser engine, which can likely be leveraged for denial of service or arbitrary code execution. (CVE-2014-1574, CVE-2014-1575)

Versions of Mozilla Thunderbird prior to 31.2 are prone to the following vulnerabilities :

 - Buffer overflow vulnerability exists when capitalization style changes occur during CSS parsing. (CVE-2014-1576)
 - Out-of-bounds read error exists in the Web Audio component when invalid values are used in custom waveforms, which can lead to a denial of service or information disclosure. (CVE-2014-1577)
 - Out-of-bounds write error when processing invalid tile sizes in 'WebM' format videos can be leveraged for arbitrary code execution. (CVE-2014-1578)
 - Use-after-free error in the 'DirectionalityUtils' component when text direction is used in the text layout can be leveraged for arbitrary code execution. (CVE-2014-1581)
 - Multiple security bypass vulnerabilities exist in the implementation of Public Key Pinning (PKP); one issue can be triggered via SPDY's or HTTP/2's connection-coalescing property in the case of a shared IP address, and another issue is exposed by an unspecified issuer-verification error. Both scenarios can be leveraged for man-in-the-middle attacks. Note that key pinning was introduced in Firefox 32. (CVE-2014-1582, CVE-2014-1584)
 - Multiple memory safety flaws exist within the browser engine, which can likely be leveraged for denial of service or arbitrary code execution. (CVE-2014-1574, CVE-2014-1575)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
78472	Firefox ESR 31.x < 31.2 多個弱點	Nessus	Windows	2014/10/15	2019/11/25	high
78496	FreeBSD：mozilla -- 多個弱點 (9c1495ac-8d8c-4789-a0f3-8ca6b476619c)	Nessus	FreeBSD Local Security Checks	2014/10/16	2021/1/6	high
78563	Debian DSA-3050-1：iceweasel - 安全性更新	Nessus	Debian Local Security Checks	2014/10/20	2021/1/11	high
78820	openSUSE 安全性更新：MozillaThunderbird (openSUSE-SU-2014:1343-1)	Nessus	SuSE Local Security Checks	2014/11/3	2021/1/19	high
80093	openSUSE 安全性更新：seamonkey (openSUSE-SU-2014:1655-1)	Nessus	SuSE Local Security Checks	2014/12/18	2021/1/19	high
83848	SUSE SLES10 安全更新：MozillaFirefox (SUSE-SU-2014:1458-3)	Nessus	SuSE Local Security Checks	2015/5/27	2021/1/19	high
78471	Mozilla Thunderbird < 31.2 多种漏洞 (Mac OS X)	Nessus	MacOS X Local Security Checks	2014/10/15	2019/11/25	high
218241	Linux Distros 未修补的漏洞: CVE-2014-1576	Nessus	Misc.	2025/3/4	2025/9/14	critical
78458	RHEL 6 / 7：firefox (RHSA-2014:1635)	Nessus	Red Hat Local Security Checks	2014/10/15	2025/4/15	high
78489	CentOS 5 / 6 / 7：firefox (CESA-2014:1635)	Nessus	CentOS Local Security Checks	2014/10/16	2021/1/4	high
78819	openSUSE 安全更新：MozillaThunderbird (openSUSE-SU-2014:1346-1)	Nessus	SuSE Local Security Checks	2014/11/3	2021/1/19	high
78848	Scientific Linux 安全更新：SL5.x、SL6.x、SL7.x i386/x86_64 中的 firefox	Nessus	Scientific Linux Local Security Checks	2014/11/4	2021/1/14	high
8553	Mozilla Firefox < 33.0 Multiple Vulnerabilities	Nessus Network Monitor	Web Clients	2014/10/17	2019/11/6	high
701248	Mozilla Firefox ESR < 31.2 Multiple Vulnerabilities	Nessus Network Monitor	Web Clients	2019/11/6	2019/11/6	high
8554	Mozilla Thunderbird < 31.2 Multiple Vulnerabilities	Nessus Network Monitor	SMTP Clients	2014/10/17	2019/3/6	high

检测

插件搜索

high

high

high

high

high

high

high

critical

high

high

high

high

high

high

high