来自 Red Hat 安全公告 2009:1530：

更新后的 firefox 程序包修复了多个安全问题，现在可用于 Red Hat Enterprise Linux 4 和 5。

Red Hat 安全响应团队将此更新评级为具有严重安全影响。

Mozilla Firefox 是一款开源 Web 浏览器。XULRunner 为 Mozilla Firefox 提供 XUL Runtime 环境。nspr 提供 Netscape Portable Runtime (NSPR)。

发现 Firefox 在处理表单历史记录的方式中存在缺陷。恶意网页可通过合成输入事件来窃取已保存的表单数据，从而导致浏览器自动填充表单字段（之后可被攻击者读取）。(CVE-2009-3370)

在 Firefox 为已下载的文件创建临时文件名的方式中发现一个缺陷。如果本地攻击者知道 Firefox 将要下载的文件的名称，则他们可将该文件的内容替换成任意内容。(CVE-2009-3274)

在 Firefox 代理自动配置 (PAC) 文件处理器中发现一个缺陷。如果 Firefox 加载恶意 PAC 文件，则可导致 Firefox 崩溃，或可能以运行 Firefox 的用户权限执行任意代码。(CVE-2009-3372)

在 Firefox GIF 图像处理器中发现一个基于堆的缓冲区溢出缺陷。恶意 GIF 图像可使 Firefox 崩溃，或可能以运行 Firefox 的用户权限执行任意代码。(CVE-2009-3373)

在 Firefox 字符串至浮点的转换例程中发现一个基于堆的缓冲区溢出缺陷。包含恶意 JavaScript 的网页可使 Firefox 崩溃，或可能以运行 Firefox 的用户权限执行任意代码。(CVE-2009-1563)

在 Firefox 处理文本选择的方式中发现一个缺陷。恶意网站可读取不同域（如用户正在查看的其他网站）中突出显示的文本，从而绕过同源策略。(CVE-2009-3375)

当下载文件时，在 Firefox 显示从右到左替代字符的方式中发现一个缺陷。在这些情况下，标题栏显示的名称与对话框正文显示的不同。
攻击者可利用此缺陷诱骗用户下载文件名或扩展名与用户预期不同的文件。(CVE-2009-3376)

在对畸形 Web 内容的处理中发现多个缺陷。包含恶意内容的网页可导致 Firefox 崩溃，或者可能以运行 Firefox 的用户的权限执行任意代码。（CVE-2009-3374、CVE-2009-3380、CVE-2009-3382）

有关这些缺陷的技术详细信息，请参阅 Firefox 3.0.15 的 Mozilla 安全公告。您可以在此勘误表的“参考”部分中找到 Mozilla 公告的链接。

所有 Firefox 用户应升级这些更新后的程序包，其中包含已修正了这些问题的 Firefox 版本 3.0.15。安装更新后，必须重新启动 Firefox 才能使更改生效。

远程 VMware ESX 主机缺少与安全有关的修补程序。因此，它受到多个第三方组件和库中的多种漏洞影响，包括远程代码执行漏洞：

- Network Security Services (NSS)
 - NetScape Portable Runtime (NSPR)

发现 Firefox 在处理表单历史记录的方式中存在缺陷。恶意网页可通过合成输入事件来窃取已保存的表单数据，从而导致浏览器自动填充表单字段（之后可被攻击者读取）。(CVE-2009-3370)

在 Firefox 为已下载的文件创建临时文件名的方式中发现一个缺陷。如果本地攻击者知道 Firefox 将要下载的文件的名称，则他们可将该文件的内容替换成任意内容。(CVE-2009-3274)

在 Firefox 代理自动配置 (PAC) 文件处理器中发现一个缺陷。如果 Firefox 加载恶意 PAC 文件，则可导致 Firefox 崩溃，或可能以运行 Firefox 的用户权限执行任意代码。(CVE-2009-3372)

在 Firefox GIF 图像处理器中发现一个基于堆的缓冲区溢出缺陷。恶意 GIF 图像可使 Firefox 崩溃，或可能以运行 Firefox 的用户权限执行任意代码。(CVE-2009-3373)

在 Firefox 字符串至浮点的转换例程中发现一个基于堆的缓冲区溢出缺陷。包含恶意 JavaScript 的网页可使 Firefox 崩溃，或可能以运行 Firefox 的用户权限执行任意代码。(CVE-2009-1563)

在 Firefox 处理文本选择的方式中发现一个缺陷。恶意网站可读取不同域（如用户正在查看的其他网站）中突出显示的文本，从而绕过同源策略。(CVE-2009-3375)

当下载文件时，在 Firefox 显示从右到左替代字符的方式中发现一个缺陷。在这些情况下，标题栏显示的名称与对话框正文显示的不同。
攻击者可利用此缺陷诱骗用户下载文件名或扩展名与用户预期不同的文件。(CVE-2009-3376)

在对畸形 Web 内容的处理中发现多个缺陷。包含恶意内容的网页可导致 Firefox 崩溃，或者可能以运行 Firefox 的用户的权限执行任意代码。（CVE-2009-3374、CVE-2009-3380、CVE-2009-3382）

安装更新后，必须重新启动 Firefox 才能使更改生效。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
67948	Oracle Linux 4 / 5：firefox (ELSA-2009-1530)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2024/10/22	high
89735	VMware ESX 第三方库多个漏洞 (VMSA-2010-0001)（远程检查）	Nessus	VMware ESX Local Security Checks	2016/3/8	2021/1/6	critical
60683	Scientific Linux 安全更新：SL4.x、SL5.x i386/x86_64 中的 firefox	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	critical

检测

插件搜索

high

critical

critical