已在 Icedove（Debian 版本的 Mozilla Thunderbird 邮件客户端）中发现多个安全问题：多个内存安全错误、释放后使用以及其他实现错误，可能导致执行任意代码或拒绝服务。此更新还解决了 DHE 密钥处理中的漏洞，常称为“LogJam”漏洞。

Mozilla Firefox 正升级到目前的 Firefox 38ESR 分支（具体为 38.2.0ESR 版本）。

修复的安全问题：

- MFSA 2015-78 / CVE-2015-4495：通过 PDF 阅读器实现的同源违反和本地文件窃取

- MFSA 2015-79 / CVE-2015-4473/CVE-2015-4474：
各种内存安全危害 (rv:40.0 / rv:38.2)

- MFSA 2015-80 / CVE-2015-4475：使用畸形 MP3 文件时发生越界读取

- MFSA 2015-82 / CVE-2015-4478：重新定义不可配置的 JavaScript 对象属性

- MFSA 2015-83 / CVE-2015-4479：libstagefright 中的溢出问题

- MFSA 2015-87 / CVE-2015-4484：在 JavaScript 中使用共享内存时发生崩溃

- MFSA 2015-88 / CVE-2015-4491：缩放位图图像时 gdk-pixbuf 中的堆溢出

- MFSA 2015-89 / CVE-2015-4485/CVE-2015-4486：解码 WebM 视频时 Libvpx 中的缓冲区溢出

- MFSA 2015-90 / CVE-2015-4487/CVE-2015-4488/CVE-2015-4489：
通过代码检查发现了多种漏洞

- MFSA 2015-92 / CVE-2015-4492：包含共享线程的 XMLHttpRequest 中的释放后使用

在 ESR31 中修复了以下漏洞，并包含在本版本中：

- CVE-2015-2724/CVE-2015-2725/CVE-2015-2726：各种内存安全危害 (bsc#935979)。

- CVE-2015-2728：索引数据库管理器中出现类型混淆 (bsc#935979)。

- CVE-2015-2730：ECDSA 签名验证未能正确处理部分签名 (bsc#935979)。

- CVE-2015-2722/CVE-2015-2733：使用 XMLHttpRequest 时工作线程中的释放后使用 (bsc#935979)。
 CVE-2015-2734/CVE-2015-2735/CVE-2015-2736/CVE-2015-2737/ CVE-2015-2738/CVE-2 015-2739/CVE-2015-2740：
通过代码检查发现的漏洞 (bsc#935979)。

- CVE-2015-2743：PDF.js 中的权限升级问题 (bsc#935979)。

- CVE-2015-4000：NSS 接受包含常规 DHE 加密套件的导出长度 DHE 密钥 (bsc#935033)。

- CVE-2015-2721：NSS 错误允许跳过 ServerKeyExchange (bsc#935979)。

此更新还包含从 31ESR 到 38ESR 的许多功能改进和缺陷补丁。

另外，Mozilla NSS 库将其 CKBI API 从 1.98 切换到了 2.4， Firefox 38ESR 使用 2.4 版本。

更新 Mozilla Firefox 和 mozilla-nss 以修复 17 个安全问题。

请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
85163	Debian DSA-3324-1：icedove - 安全更新 (Logjam)	Nessus	Debian Local Security Checks	2015/8/3	2022/12/5	low
85721	SUSE SLES11 安全更新：MozillaFirefox、mozilla-nss (SUSE-SU-2015:1449-1) (Logjam)	Nessus	SuSE Local Security Checks	2015/9/1	2022/12/5	low

检测

插件搜索

low

low