远程 Redhat Enterprise Linux 5/6 主机上安装的程序包受到 RHSA-2014:1924 公告中提及的多个漏洞影响。

    Mozilla Thunderbird 是独立的邮件和新闻组客户端。

    在对畸形 Web 内容的处理中发现多个缺陷。包含恶意内容的网页可能导致 Thunderbird 崩溃，或者可能以运行 Thunderbird 的用户的权限执行任意代码。（CVE-2014-1587、CVE-2014-1590、CVE-2014-1592、CVE-2014-1593）

    在 Alarm API 中发现一个缺陷，该缺陷可允许应用程序计划在以后运行的操作。恶意的 Web 应用程序可以利用该缺陷绕过同源策略。(CVE-2014-1594)

    注意：特别构建的 HTML 邮件消息无法利用所有上述问题，因为在默认情况下，邮件消息禁用 JavaScript。
    在 Thunderbird 中可采用另一种方式利用这些问题，例如查看 RSS 源的完整远程内容时。

    默认情况下，该更新会禁用 Thunderbird 中的 SSL 3.0 支持。有关如何重新启用 SSL 3.0 支持的详细信息，请访问：
    https://access.redhat.com/articles/1284233

    Red Hat 在此感谢 Mozilla 项目报告这些问题。
    上游感谢 Gary Kwong、Randell Jesup、Nils Ohlmeier、Jesse Ruderman、Max Jonas Werner、Joe Vennix、Berend-Jan Wever、Abhishek Arya 和 Boris Zbarsky 为这些问题的原始报告者。

    有关这些缺陷的技术详细信息，请参阅针对 Thunderbird 31.3.0 的 Mozilla 安全公告。在本勘误表的“参考”部分可以找到 Mozilla 公告的链接。

    所有 Thunderbird 用户都应升级这些更新后的程序包，其中包含已修正了这些问题的 Thunderbird 版本 31.3.0。
    安装更新后，必须重新启动 Thunderbird 才能使更改生效。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 14.04 LTS 主机上安装的多个程序包受到 USN-2424-1 公告中提及的多个漏洞影响。

    Gary Kwong、Randell Jesup、Nils Ohlmeier、Jesse Ruderman、Max Jonas Werner、Christian Holler、Jon Coppeard、Eric Rahm、Byron Campen、Eric Rescorla 和 Xidorn Quan 发现 Firefox 中的多个内存安全问题。如果用户受到诱骗打开特别构建的网站，攻击者可能利用这些漏洞，通过应用程序崩溃造成拒绝服务，或者调用 Firefox 的用户的权限执行任意代码。（CVE-2014-1587、CVE-2014-1588）

    Cody Crews 发现了在某些情况下从 Web 内容中触发 chrome 级别的 XBL 绑定的一种方法。
    如果用户受到诱骗打开特别构建的网站，攻击者可能利用此问题绕过安全限制。(CVE-2014-1589)

    Joe Vennix 发现在某些情况下使用 XMLHttpRequest 时会发生崩溃。如果用户受到诱骗打开特别构建的网站，攻击者可能利用此漏洞造成拒绝服务。(CVE-2014-1590)

    Muneaki Nishimura 发现，在某些情况下 CSP 冲突报告没有删除路径信息。如果用户受到诱骗打开特制的网站，攻击者可能利用此问题获取敏感信息。(CVE-2014-1591)

    Berend-Jan Wever 发现 HTML 解析过程中存在释放后使用情况。如果用户受到诱骗打开特别构建的网站，攻击者可能利用此漏洞，通过使应用程序崩溃造成拒绝服务，或以调用 Firefox 的用户的权限执行任意代码。
    (CVE-2014-1592)

    Abhishek Arya 发现解析媒体内容时存在缓冲区溢出。如果用户受到诱骗打开特别构建的网站，攻击者可能利用此漏洞，通过使应用程序崩溃造成拒绝服务，或以调用 Firefox 的用户的权限执行任意代码。
    (CVE-2014-1593)

    Byoungyoung Lee、Chengyu Song 和 Taesoo Kim 发现合成程序中存在转换错误。如果用户受到诱骗打开特别构建的网站，攻击者可能利用此漏洞导致不明行为、通过使应用程序崩溃造成拒绝服务，或以调用 Firefox 的用户的权限执行任意代码。(CVE-2014-1594)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 5 / 6 / 7 主机上存在安装的程序包该程序包受到公告 ELSA-2014-1919 中提及的多个漏洞的影响。

    [31.3.0-4.0.1]
    - 添加 firefox-oracle-default-prefs.js 和 firefox-oracle-default-bookmarks.html 并删除相应的 Red Hat

    [31.3.0-4]
    - 更新到 31.3.0 ESR Build 2
    - 地理定位 API 的补丁 (rhbz#1063739)

    [31.2.0-5]
    - splice 变通方案 (rhbz#1150082)

    [31.2.0-4]
    - ppc 版本补丁 (rhbz#1151959)

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

在 Iceweasel（Debian 版本的 Mozilla Firefox Web 浏览器）中发现多个安全问题：多个内存安全错误、缓冲区溢出、释放后使用，以及可导致执行任意代码、绕过安全限制或拒绝服务的其他实现错误。

Versions of Mozilla Firefox ESR earlier than 31.3 are unpatched for the following vulnerabilities :

 - Security Bypass that can be leveraged when processing specially crafted Chrome-based CSS stylesheets with improperly declared namespaces. (CVE-2014-1589)
 - Information Disclosure due to the way Content Security Policy leaks data through violation reports. (CVE-2014-1591)
 - Multiple Unspecified Memory Corruption Vulnerabilities. (CVE-2014-1587)(CVE-2014-1588)
 - Multiple Local Information Disclosure Vulnerabilities requiring interactive access to exploit. (CVE-2014-1595)
 - Security Vulnerability due to bad casting from 'BasicThebesLayer' to 'BasicContainerLayer'. (CVE-2014-1594)
 - Denial of Service Vulnerability can occur when passing a js object to 'XMLHttpRequest' that mimics an input stream. (CVE-2014-1590)
 - Use After Free Memory Corruption Vulnerability when creating a second root element during the parsing of an HTML5 document which contains 'document.open()'. (CVE-2014-1592)
 - Buffer Overflow Vulnerability when handling specially crafted media content. (CVE-2014-1593)
 - A flaw exists and is triggered as 'XrayWrappers' filter objects are not properly validated when stored in the program. This may allow a context-dependent attacker to bypass security protection mechanisms. (CVE-2014-8632)

Versions of Mozilla Thunderbird prior to 31.3 are prone to the following vulnerabilities :

 - Multiple Unspecified Memory Corruption Vulnerabilities.(CVE-2014-1587)(CVE-2014-1588)
 - Multiple Local Information Disclosure Vulnerabilities requiring interactive access to exploit.(CVE-2014-1595)
 - Security Vulnerability due to bad casting from BasicThebesLayer to BasicContainerLayer.(CVE-2014-1594)
 - Denial of Service Vulnerability can occur when passing a js object to XMLHttpRequest that mimics an input stream.(CVE-2014-1590)
 - Use After Free Memory Corruption Vulnerability when creating a second root element during the parsing of an HTML5 document which contains 'document.open()'.(CVE-2014-1592)
 - Buffer Overflow Vulnerability when handling specially crafted media content.(CVE-2014-1593)

Versions of Mozilla Firefox earlier than 34.0 are unpatched for the following vulnerabilities :

 - Security Bypass that can be leveraged when processing specially crafted Chrome-based CSS stylesheets with improperly declared namespaces. (CVE-2014-1589)
 - Information Disclosure due to the way Content Security Policy leaks data through violation reports. (CVE-2014-1591)
 - Multiple Unspecified Memory Corruption Vulnerabilities. (CVE-2014-1587)(CVE-2014-1588)
 - Multiple Local Information Disclosure Vulnerabilities requiring interactive access to exploit. (CVE-2014-1595)
 - Security Vulnerability due to bad casting from 'BasicThebesLayer' to 'BasicContainerLayer'. (CVE-2014-1594)
 - Denial of Service Vulnerability can occur when passing a js object to 'XMLHttpRequest' that mimics an input stream. (CVE-2014-1590)
 - Use After Free Memory Corruption Vulnerability when creating a second root element during the parsing of an HTML5 document which contains 'document.open()'. (CVE-2014-1592)
 - Buffer Overflow Vulnerability when handling specially crafted media content. (CVE-2014-1593)
 - A flaw exists and is triggered as 'XrayWrappers' filter objects are not properly validated when stored in the program. This may allow a context-dependent attacker to bypass security protection mechanisms. (CVE-2014-8632)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
79683	RHEL 5/6：thunderbird (RHSA-2014:1924)	Nessus	Red Hat Local Security Checks	2014/12/3	2025/3/21	medium
79688	Ubuntu 14.04 LTS：Firefox 漏洞 (USN-2424-1)	Nessus	Ubuntu Local Security Checks	2014/12/3	2024/8/27	critical
79708	Oracle Linux 5 / 6 / 7firefox (ELSA-2014-1919)	Nessus	Oracle Linux Local Security Checks	2014/12/4	2025/4/29	medium
79731	Debian DSA-3090-1：iceweasel - 安全更新	Nessus	Debian Local Security Checks	2014/12/5	2021/1/11	medium
701249	Mozilla Firefox ESR < 31.3 Multiple Vulnerabilities	Nessus Network Monitor	Web Clients	2019/11/6	2019/11/6	medium
8589	Mozilla Thunderbird < 31.3 Multiple Vulnerabilities	Nessus Network Monitor	SMTP Clients	2014/12/4	2019/3/6	medium
8588	Mozilla Firefox < 34.0 Multiple Vulnerabilities	Nessus Network Monitor	Web Clients	2014/12/4	2019/11/6	medium

检测

插件搜索

medium

critical

medium

medium

medium

medium

medium