远程 Redhat Enterprise Linux 6/7 主机上安装的一个程序包受到 RHSA-2017:3382 公告中提及的一个漏洞影响。

    Mozilla Firefox 是一款开源网页浏览器。

    此更新将 Firefox 升级至 52.5.1 ESR 版本。

    安全修复：

    * 在 Firefox 中发现隐私缺陷。在私人浏览模式下，工作线程可将持久性数据写入 IndexedDB，该数据在退出时不会被清除，并且会在多个会话间持久保存。恶意网站可利用此缺陷绕过隐私浏览保护，并可为访客提供唯一指纹识别。 (CVE-2017-7843)

    Red Hat 在此感谢 Mozilla 项目报告此问题。上游感谢原始报告者 Konark。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 macOS 或 Mac OS X 主机上安装的 Mozilla Firefox 版本低于 57.0.1。因而会受到多个漏洞的影响。注意：CVE-2017-7844 仅影响 57 版本。较早的版本不受影响。

运行版本 MAIN 4.05 的远程 NewStart CGSL 主机安装有受多个漏洞影响的 firefox 程序包：- 使用 blob: 和数据解码的文件下载：尽管存在钓鱼和恶意软件保护功能及其可疑站点和文件的阻止列表，URL 元素仍可绕过正常文件下载检查。这会造成恶意站点诱使用户下载本应检测为可疑的可执行文件。该漏洞影响 Firefox < 56、Firefox ESR < 52.4 和 Thunderbird < 52.4。(CVE-2017-7814) - 当调整图像对象大小时，如果调整大小期间引用的对象已经从内存中释放，则在设计模式中可能出现释放后使用漏洞。这会导致潜在可利用的崩溃。该漏洞影响 Firefox < 56、Firefox ESR < 52.4 和 Thunderbird < 52.4。(CVE-2017-7819) - 内容安全策略 (CSP) 沙盒指令未创建文档的唯一来源，造成其表现为似乎总是指明 allow-same-origin 关键字。这会允许从不安全的内容发起跨站脚本 (XSS) 攻击。该漏洞影响 Firefox < 56、Firefox ESR < 52.4 和 Thunderbird < 52.4。(CVE-2017-7823) - 当在树遍历期间过早删除编辑器 DOM 节点，并且仍然与文件绑定时，可能出现释放后使用漏洞。这会导致潜在可利用的崩溃。此漏洞会影响 Thunderbird < 52.3、Firefox ESR < 52.3 和 Firefox < 55。(CVE-2017-7809) - Firefox 54、Firefox ESR 52.2 和 Thunderbird 52.2 中已报告内存安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。此漏洞会影响 Thunderbird < 52.3、Firefox ESR < 52.3 和 Firefox < 55。(CVE-2017-7779) - 当使用缓存的样式数据将样式规则应用于伪元素（例如 ::first-line）时出现越界读取。此漏洞会影响 Thunderbird < 52.3、Firefox ESR < 52.3 和 Firefox < 55。(CVE-2017-7753) - 当在 DOM 内操纵可访问富互联网应用程序 (ARIA) 属性时，可能出现缓冲区溢出。这会导致潜在可利用的崩溃。此漏洞会影响 Thunderbird < 52.3、Firefox ESR < 52.3 和 Firefox < 55。(CVE-2017-7785) - 当图像渲染器尝试绘制不可显示的 SVG 元素时，可能出现缓冲区溢出。这会导致潜在可利用的崩溃。此漏洞会影响 Thunderbird < 52.3、Firefox ESR < 52.3 和 Firefox < 55。(CVE-2017-7786) - 在页面重新加载期间，可以在含有内嵌的 iframe 页面上绕过同源策略保护，允许 iframes 在顶级页面上访问内容，导致信息泄露。此漏洞会影响 Thunderbird < 52.3、Firefox ESR < 52.3 和 Firefox < 55。(CVE-2017-7787) - 如果证书中拥有极长的对象标识符 (OID)，当在证书管理器中查看证书时，将会发生缓冲区溢出。这会导致潜在可利用的崩溃。此漏洞会影响 Thunderbird < 52.3、Firefox ESR < 52.3 和 Firefox < 55。(CVE-2017-7792) - 在包含 iframe 的页面，data: 协议可用于创建模态警告，将在页面导航后在任意域上呈现，欺骗来自 iframe 内容的模态警告来源。此漏洞会影响 Thunderbird < 52.3、Firefox ESR < 52.3 和 Firefox < 55。(CVE-2017-7791) - 当保持连接的对象在断开连接操作完成前释放，在 WebSockets 中可能出现释放后使用漏洞。这会导致可利用的崩溃。此漏洞会影响 Thunderbird < 52.3、Firefox ESR < 52.3 和 Firefox < 55。(CVE-2017-7800) - 开发人员工具功能受到 XUL 注入漏洞影响，原因在于不当清理 Web 页面源代码。在最糟糕的情况下，当打开带有样式编辑器工具的恶意页面时，可允许任意代码执行。该漏洞影响 Firefox ESR < 52.3 和 Firefox < 55。(CVE-2017-7798) - 在调整图像元素大小的事件期间，操纵 DOM 时可能出现释放后使用漏洞。如果由于缺少强引用造成已经释放此类元素，当访问已经释放的元素时，可能出现潜在的可利用崩溃。此漏洞会影响 Thunderbird < 52.3、Firefox ESR < 52.3 和 Firefox < 55。(CVE-2017-7802) - 当更新的样式对象在仍使用时遭到释放，在窗口调整大小期间，重新计算 marquee 元素的布局时，可能出现释放后使用漏洞。这会导致潜在可利用的崩溃。此漏洞会影响 Thunderbird < 52.3、Firefox ESR < 52.3 和 Firefox < 55。(CVE-2017-7801) - 一种机制使用 AppCache 劫持域中的 URL，从域中的子路径通过提供文件来使用回退。已经通过要求将回退文件放在清单目录中来解决此问题。此漏洞会影响 Thunderbird < 52.3、Firefox ESR < 52.3 和 Firefox < 55。(CVE-2017-7807) - 当页面的内容安全策略 (CSP) 标头包含沙盒指令时，会忽略其他指令。这会导致不正确执行 CSP。此漏洞会影响 Thunderbird < 52.3、Firefox ESR < 52.3 和 Firefox < 55。(CVE-2017-7803) - 在已经释放观察者后，在帧重建期间，当读取图像观察者时，可能出现释放后使用漏洞。这会导致潜在可利用的崩溃。此漏洞会影响 Thunderbird < 52.3、Firefox ESR < 52.3 和 Firefox < 55。(CVE-2017-7784) - 当通过 DOM 在容器内操纵可访问富互联网应用程序 (ARIA) 元素的数组时，可能出现释放后使用漏洞。这会导致潜在可利用的崩溃。该漏洞影响 Firefox < 56、Firefox ESR < 52.4 和 Thunderbird < 52.4。(CVE-2017-7818) - 以用于 WebGL 内容的 ANGLE 图库绘制及验证元素时，会发生缓冲区溢出情况。这是由于在检查期间在库内传递不正确的值所致，并导致潜在可利用的崩溃。该漏洞影响 Firefox < 56、Firefox ESR < 52.4 和 Thunderbird < 52.4。(CVE-2017-7824) - Firefox 55 和 Firefox ESR 52.3 中已报告内存安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。该漏洞影响 Firefox < 56、Firefox ESR < 52.4 和 Thunderbird < 52.4。(CVE-2017-7810) - 当工作进程或相关窗口在仍使用时遭到释放，Fetch API 中会发生释放后使用漏洞，导致潜在的可利用崩溃。该漏洞影响 Firefox < 56、Firefox ESR < 52.4 和 Thunderbird < 52.4。(CVE-2017-7793) - 在 Firefox 中发现隐私缺陷。在私人浏览模式下，工作线程可将持久性数据写入 IndexedDB，该数据在退出时不会被清除，并且会在多个会话间持久保存。恶意网站可利用此缺陷绕过隐私浏览保护和唯一指纹访客。(CVE-2017-7843) - 刷新和调整布局大小时出现释放后使用漏洞，原因在于 PressShell 对象在仍然使用时已经释放。这会导致在此类操作中造成潜在可利用的崩溃。该漏洞影响 Firefox < 57、Firefox ESR < 52.5 和 Thunderbird < 52.5。(CVE-2017-7828) - Firefox 56 和 Firefox ESR 52.4 中已报告内存安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。该漏洞影响 Firefox < 57、Firefox ESR < 52.5 和 Thunderbird < 52.5。(CVE-2017-7826) - Resource Timing API 错误显示了跨源 iframe 中的导航。这是同源策略违规，可能导致用户加载的 URL 数据遭窃。该漏洞影响 Firefox < 57、Firefox ESR < 52.5 和 Thunderbird < 52.5。(CVE-2017-7830) 请注意，Nessus 并未针对此问题进行测试，而仅依赖应用程序自我报告的版本号。

已发现 Mozilla Firefox web 浏览器中的“私密浏览”模式允许通过 IndexedDB 在多个会话中对用户进行指纹采集。

远程 macOS 或 Mac OS X 主机上安装的 Mozilla Firefox ESR 版本低于 52.5.2。因而受到与处理私人模式、Webworker 和 IndexedDB 访问相关缺陷的影响，允许攻击者产生持久数据，从而能够对用户进行独特的指纹识别。

运行版本 MAIN 5.04 的远程 NewStart CGSL 主机安装有受多个漏洞影响的 firefox 程序包：- 在 Firefox. 中发现隐私缺陷。在私人浏览模式下，工作线程可将持久性数据写入 IndexedDB，该数据在退出时不会被清除，并且会在多个会话间持久保存。恶意网站可利用此缺陷绕过隐私浏览保护和唯一指纹访客。(CVE-2017-7843) - 刷新和调整布局大小时出现释放后使用漏洞，原因在于 PressShell 对象在仍然使用时已经释放。这会导致在此类操作中造成潜在可利用的崩溃。该漏洞影响 Firefox < 57、Firefox ESR < 52.5 和 Thunderbird < 52.5。(CVE-2017-7828) - Firefox 56 和 Firefox ESR 52.4 中已报告内存安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。该漏洞影响 Firefox < 57、Firefox ESR < 52.5 和 Thunderbird < 52.5。(CVE-2017-7826) - Resource Timing API 错误显示了跨源 iframe 中的导航。这是同源策略违规，可能导致用户加载的 URL 数据遭窃。该漏洞影响 Firefox < 57、Firefox ESR < 52.5 和 Thunderbird < 52.5。(CVE-2017-7830) 请注意，Nessus 并未针对此问题进行测试，而仅依赖应用程序自我报告的版本号。

来自 Red Hat 安全公告 2017:3382： firefox 更新现可用于 Red Hat Enterprise Linux 6 和 Red Hat Enterprise Linux 7。 Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 Mozilla Firefox 是一款开源网页浏览器。 此更新将 Firefox 升级到版本 52.5.1 ESR。 安全补丁： * 在 Firefox 中发现隐私缺陷。在私人浏览模式下，工作线程可将持久性数据写入 IndexedDB，该数据在退出时不会被清除，并且会在多个会话间持久保存。恶意网站可利用此缺陷绕过私人浏览保护和唯一指纹访客。(CVE-2017-7843) Red Hat 在此感谢 Mozilla 项目报告此问题。上游感谢原始报告者 Konark。

远程主机受到 GLSA-201802-03 中所述漏洞的影响（Mozilla Firefox：多个漏洞）在 Mozilla Firefox 中发现多个漏洞。如需详细信息，请查看供参考的 CVE 标识符。影响：远程攻击者可诱骗用户查看特制网页，可能导致以进程的权限执行任意代码或拒绝服务情况。此外，远程攻击者可能可以执行中间人攻击、获取敏感信息、欺骗地址栏、执行点击劫持攻击、绕过安全限制和保护机制，或造成其他不明影响。解决方法：目前无任何已知的解决方法。

firefox 更新现可用于 Red Hat Enterprise Linux 6 和 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Mozilla Firefox 是一款开源网页浏览器。此更新将 Firefox 升级到版本 52.5.1 ESR。安全修复：* 在 Firefox. 中发现隐私缺陷。在私人浏览模式下，工作线程可将持久性数据写入 IndexedDB，该数据在退出时不会被清除，并且会在多个会话间持久保存。恶意网站可利用此缺陷绕过私人浏览保护和唯一指纹访客。(CVE-2017-7843) Red Hat 在此感谢 Mozilla 项目报告此问题。上游感谢原始报告者 Konark。

此更新将 Firefox 升级到版本 52.5.1 ESR。安全修复：- 在 Firefox. 中发现隐私缺陷。在私人浏览模式下，工作线程可将持久性数据写入 IndexedDB，该数据在退出时不会被清除，并且会在多个会话间持久保存。恶意网站可利用此缺陷绕过私人浏览保护和唯一指纹访客。(CVE-2017-7843)

远程 Windows 主机上安装的 Mozilla Firefox 版本低于 57.0.1。因而会受到多个漏洞的影响。注意：CVE-2017-7844 仅影响 57 版本。较早的版本不受影响。

已发现 Firefox 中的私密浏览模式能够将持久性数据写入数据库，可导致用户即使在这种模式下浏览也会被网站跟踪。针对 Debian 7“Wheezy”，这些问题已在版本 52.5.2esr-1~deb7u1 中修复。建议您升级 firefox-esr 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

远程 Windows 主机上安装的 Mozilla Firefox ESR 版本低于 52.5.2。因而会受到多个漏洞的影响，其中一些漏洞允许代码执行，并可能导致可利用的崩溃。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
105018	RHEL 6 / 7：firefox (RHSA-2017:3382)	Nessus	Red Hat Local Security Checks	2017/12/5	2025/4/15	high
105039	Mozilla Firefox < 57.0.1 Multiple Vulnerabilities (macOS)	Nessus	MacOS X Local Security Checks	2017/12/6	2019/11/12	high
127356	NewStart CGSL MAIN 4.05：firefox 多个漏洞 (NS-SA-2019-0116)	Nessus	NewStart CGSL Local Security Checks	2019/8/12	2024/5/7	critical
105123	Debian DSA-4062-1：firefox-esr - 安全更新	Nessus	Debian Local Security Checks	2017/12/11	2021/1/4	high
105211	Mozilla Firefox ESR < 52.5.2 Private Mode Fingerprinting Vulnerability (macOS)	Nessus	MacOS X Local Security Checks	2017/12/13	2019/11/12	high
127141	NewStart CGSL MAIN 5.04：firefox 多个漏洞 (NS-SA-2019-0001)	Nessus	NewStart CGSL Local Security Checks	2019/8/12	2024/5/8	critical
105027	Oracle Linux 6 / 7 : firefox (ELSA-2017-3382)	Nessus	Oracle Linux Local Security Checks	2017/12/6	2024/10/22	high
106884	GLSA-201802-03：Mozilla Firefox：多个漏洞	Nessus	Gentoo Local Security Checks	2018/2/20	2024/1/16	critical
105060	CentOS 6 / 7 : firefox (CESA-2017:3382)	Nessus	CentOS Local Security Checks	2017/12/7	2021/1/4	high
105030	Scientific Linux 安全更新：SL6.x、SL7.x i386/x86_64 中的 firefox	Nessus	Scientific Linux Local Security Checks	2017/12/6	2021/1/14	high
105040	Mozilla Firefox < 57.0.1 多个漏洞	Nessus	Windows	2017/12/6	2019/11/12	high
105118	Debian DLA-1202-1：firefox-esr 安全更新	Nessus	Debian Local Security Checks	2017/12/11	2021/1/11	high
105212	Mozilla Firefox ESR < 52.5.2 多个漏洞	Nessus	Windows	2017/12/13	2018/7/16	high

检测

插件搜索

high

high

critical

high

high

critical

high

critical

high

high

high

high

high