Firefoxの更新プログラムが、Red Hat Enterprise Linux 6で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度最高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Mozilla Firefoxは、標準コンプライアンス、パフォーマンス、移植性を特徴とするオープンソースのWebブラウザーです。この更新プログラムでは、Firefoxがバージョン52.8.0 ESRにアップグレードされます。セキュリティ修正プログラム：*Mozilla：Firefox 60およびFirefox ESR 52.8で修正されたメモリ安全性のバグ（CVE-2018-5150）*Mozilla：SkiaにおけるBackportの重要なセキュリティ修正（CVE-2018-5183）*Mozilla：SVGアニメーションやクリップパスによるメモリ解放後使用（use-after-free）（CVE-2018-5154）*Mozilla：SVGアニメーションやテキストパスによるメモリ解放後使用（use-after-free）（CVE-2018-5155）*Mozilla：保護されたPDFファイルを表示するためのPDFビューアーの同一オリジンバイパス（CVE-2018-5157）*Mozilla：悪意のあるPDFがJavaScriptをPDFビューアーに挿入する脆弱性（CVE-2018-5158）*Mozilla：Skiaの整数オーバーフローおよび領域外書き込み（CVE-2018-5159）*Mozilla：ユーザーの操作なしに軽量テーマをインストールされる脆弱性（CVE-2018-5168）*Mozilla：レガシー拡張機能を使用したUTF-8からUnicodeの文字列への変換中のバッファオーバーフロー（CVE-2018-5178）その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。Red Hatは、これらの問題を報告してくれたMozillaプロジェクトに感謝の意を表します。アップストリームは、Christoph Diehl 氏、Randell Jesup 氏、Tyson Smith 氏、Alex Gaynor 氏、Ronald Crane 氏、Julian Hector 氏、Kannan Vijayan 氏、Jason Kratzer 氏、Mozilla Developers 氏、Nils 氏、Wladimir Palant 氏、Ivan Fratric 氏、そして Root Object を最初の報告者として認識しています。

このMozillaFirefoxのESR 52.8リリースへの更新では、次の問題が修正されます：MozilからFirefox ESR 52.8へ（bsc#1092548）修正されたセキュリティ問題：

  - MFSA 2018-12/CVE-2018-5159：Skiaの整数オーバーフローおよび領域外書き込み

  - MFSA 2018-12/CVE-2018-5158：悪意のあるPDFがJavaScriptをPDFビューアーに挿入する

  - MFSA 2018-12/CVE-2018-5168：ユーザーの操作なしに軽量テーマがインストールされる

  - MFSA 2018-12/CVE-2018-5150：Firefox 60とFirefox ESR 52.8で修正されたメモリ安全性に関するバグ

  - MFSA 2018-12/CVE-2018-5155：SVGアニメーションやテキストパスによるメモリ解放後使用（Use After Free）

  - MFSA 2018-12/CVE-2018-5183：SkiaにおけるBackportの重要なセキュリティ修正

  - MFSA 2018-12/CVE-2018-5157：保護されたPDFファイルを表示するためのPDFビューアーの同一オリジンバイパス

  - MFSA 2018-12/CVE-2018-5154：SVGアニメーションやクリップパスによるメモリ解放後使用（Use After Free）

  - MFSA 2018-12/CVE-2018-5178：レガシー拡張機能を使用したUTF-8からUnicodeの文字列への変換中のバッファオーバーフロー

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

このMozillaFirefoxの52.8 ESRリリースへの更新では、次の問題を修正します：

Mozil to Firefox ESR 52.8（bsc#1092548）

修正されたセキュリティ問題：

MFSA 2018-12/CVE-2018-5159：Skiaの整数オーバーフローおよび領域外書き込み

MFSA 2018-12/CVE-2018-5158：悪意のあるPDFがJavaScriptをPDFビューアーに挿入する

MFSA 2018-12/CVE-2018-5168：ユーザーの操作なしに軽量テーマがインストールされる

MFSA 2018-12/CVE-2018-5150：Firefox 60とFirefox ESR 52.8で修正されたメモリ安全性に関するバグ

MFSA 2018-12/CVE-2018-5155：SVGアニメーションやテキストパスによるメモリ解放後使用（Use After Free）

MFSA 2018-12/CVE-2018-5183：SkiaにおけるBackportの重要なセキュリティ修正

MFSA 2018-12/CVE-2018-5157：保護されたPDFファイルを表示するためのPDFビューアーの同一オリジンバイパス

MFSA 2018-12/CVE-2018-5154：SVGアニメーションやクリップパスによるメモリ解放後使用（Use After Free）

MFSA 2018-12/CVE-2018-5178：レガシー拡張機能を使用したUTF-8からUnicodeの文字列への変換中のバッファオーバーフロー

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

Versions of Mozilla Firefox ESR earlier than 52.8 are unpatched for the following vulnerabilities :

 - A use-after-free error exists that is triggered when enumerating attributes for SVG animations with clip paths. With a specially crafted SVG file, a context-dependent attacker can dereference already freed memory and potentially execute arbitrary code.
 - A use-after-free error exists in 'layout/svg/SVGTextFrame.cpp' that is triggered when adjusting layouts for SVG animations with text paths. With a specially crafted SVG file, a context-dependent attacker can dereference already freed memory and potentially execute arbitrary code.
 - An unspecified flaw exists in the PDF viewer that may allow a context-dependent attacker to bypass the same-origin policy and view restricted PDF files on a third-party website.
 - A flaw exists that allows a cross-site scripting (XSS) attack. This flaw exists exists because the PDF viewer does not properly sanitize input to PostScript calculator functions before returning it to users. This may allow a context-dependent attacker to create a specially crafted request that executes arbitrary script code in a user's browser session within the trust relationship between their browser and the server.
 - An integer overflow condition exists in 'include/private/SkTDArray.h' that is triggered as certain input is not properly validated. This may allow a context-dependent attacker to corrupt memory and potentially execute arbitrary code.
 - A flaw exists in the installation of themes. This may allow a context-dependent attacker to manipulate the baseURI property  of a theme element to bypass intended user interaction checks, allowing for the installation of unintended themes. This may be used to 'e.g'. deface a page with content from unintended themes.
 - A flaw exists that is triggered as the program sets the SEE_MASK_FLAG_NO_UI flag for Windows Defender SmartScreen when handling certain downloads. This may result in the download file prompt not displaying to the user, potentially causing files to be opened without the user's intent.
 - An assertion flaw exists in the 'FilterNodeArithmeticCombineSoftware::SetAttribute()' function in 'gfx/2d/FilterNodeSoftware.cpp' that is triggered as certain input is not properly validated. This may allow a context-dependent attacker to cause an out-of-bounds read and potentially disclose memory contents.
 - A flaw exists that is triggered when asynchronously calling methods from the CamerasChild class in 'dom/media/systemservices/CamerasChild.cpp'. This may allow a context-dependent attacker to corrupt memory and potentially execute arbitrary code.
 - An overflow condition exists that is triggered as certain input is not properly validated when performing UTF8 to Unicode string conversion. This may allow a context-dependent attacker to cause a buffer overflow, potentially allowing the execution of arbitrary code.
 - Multiple unspecified flaws exist exist related to the use of insecure versions of Skia that may allow an attacker to perform memory corruption attacks, or potentially have other impacts. No further details have been provided.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
109923	CentOS 6：Firefox（CESA-2018:1414）	Nessus	CentOS Local Security Checks	2018/5/21	2024/10/4	critical
109939	SUSE SLED12 / SLES12セキュリティ更新プログラム：MozillaFirefox（SUSE-SU-2018:1334-1）	Nessus	SuSE Local Security Checks	2018/5/21	2024/10/4	critical
118254	SUSE SLES12セキュリティ更新プログラム：MozillaFirefox（SUSE-SU-2018:1334-2）	Nessus	SuSE Local Security Checks	2018/10/22	2024/7/30	critical
700337	Mozilla Firefox ESR < 52.8 Multiple Vulnerabilities	Nessus Network Monitor	Web Clients	2018/8/21	2019/11/6	high

检测

插件搜索

critical

critical

critical

high