リモートのWindowsホストにインストールされているFirefoxのバージョンは、108.0より前です。したがって、mfsa2022-51 アドバイザリに記載されている複数の脆弱性の影響を受けます。

 - 古いライブラリ (libusrsctp) に、悪用される可能性のある脆弱性が含まれていました。
 (CVE-2022-46871)

 - コンテンツプロセスを侵害した攻撃者が、サンドボックスを部分的に回避して、クリップボード関連の IPC メッセージを介して任意のファイルを読み取る可能性があります。このバグの影響を受けるのは、Linux 向けの Firefox のみです。その他のオペレーティングシステムは影響を受けません。(CVE-2022-46872)

 - Firefox が <code>unsafe-hshes</code> CSP ディレクティブを実装していないため、コンテンツセキュリティポリシーで保護されているページにマークアップを挿入できた攻撃者が、実行可能スクリプトを注入できた可能性があります。これは、ドキュメントの指定されたコンテンツセキュリティポリシーによって厳しく制約されます。(CVE-2022-46873)

 - 長いファイル名のファイルは、有効な拡張子を削除するためにファイル名が切り捨てられ、悪意のある拡張子がそのまま残される可能性があります。これにより、ユーザーの混乱や悪意のあるコードの実行が引き起こされる可能性がありました。(CVE-2022-46874)

 - .atloc および .ftploc ファイルをダウンロードする時には、実行可能ファイルの警告は表示されませんでした。それは、ユーザーのコンピューターでコマンドを実行することが可能です。注: この問題は Mac OS オペレーティングシステムにのみ影響します。その他のオペレーティングシステムは影響を受けません。(CVE-2022-46875)

 - ブラウザを混乱させることで、フルスクリーン通知が遅延または抑制され、ユーザーの混乱やなりすまし攻撃が発生する可能性があります。(CVE-2022-46877)

 - Mozilla 開発者の Randell Jesup 氏、Valentin Gosu 氏、Olli Pettay 氏および Mozilla Fuzzing Team は、Firefox 107 と Firefox ESR 102.5 に存在するメモリ安全性のバグを報告しました。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、十分な労力をもってすればこれらの一部を悪用し、任意のコードを実行することが可能であると推測しています。(CVE-2022-46878)

 - Mozilla 開発者およびコミュニティメンバーの Lukas Bernhard 氏、Gabriele Svelto 氏、Randell Jesup 氏および Mozilla Fuzzing Team は、Firefox 107 に存在するメモリ安全性のバグを報告しました。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、十分な労力をもってすればこれらの一部を悪用し、任意のコードを実行することが可能であると推測しています。(CVE-2022-46879)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

The version of Firefox installed on the remote Windows host is prior to 108.0. It is, therefore, affected by multiple vulnerabilities as referenced in the mfsa2022-51 advisory.

 - An out of date library (libusrsctp) contained vulnerabilities that could potentially be exploited.
 (CVE-2022-46871)

 - An attacker who compromised a content process could have partially escaped the sandbox to read arbitrary files via clipboard-related IPC messages. This bug only affects Firefox for Linux. Other operating systems are unaffected. (CVE-2022-46872)

 - Because Firefox did not implement the <code>unsafe-hashes</code> CSP directive, an attacker who was able to inject markup into a page otherwise protected by a Content Security Policy may have been able to inject executable script. This would be severely constrained by the specified Content Security Policy of the document. (CVE-2022-46873)

 - A file with a long filename could have had its filename truncated to remove the valid extension, leaving a malicious extension in its place. This could have potentially led to user confusion and the execution of malicious code. (CVE-2022-46874)

 - The executable file warning was not presented when downloading .atloc and .ftploc files, which can run commands on a user's computer. Note: This issue only affected Mac OS operating systems. Other operating systems are unaffected. (CVE-2022-46875)

 - By confusing the browser, the fullscreen notification could have been delayed or suppressed, resulting in potential user confusion or spoofing attacks. (CVE-2022-46877)

 - Mozilla developers Randell Jesup, Valentin Gosu, Olli Pettay, and the Mozilla Fuzzing Team reported memory safety bugs present in Firefox 107 and Firefox ESR 102.5. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. (CVE-2022-46878)

 - Mozilla developers and community members Lukas Bernhard, Gabriele Svelto, Randell Jesup, and the Mozilla Fuzzing Team reported memory safety bugs present in Firefox 107. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. (CVE-2022-46879)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートのmacOSまたはMac OS XホストにインストールされているFirefoxのバージョンは、108.0より前のものです。したがって、mfsa2022-51 アドバイザリに記載されている複数の脆弱性の影響を受けます。

 - 古いライブラリ (libusrsctp) に、悪用される可能性のある脆弱性が含まれていました。
 (CVE-2022-46871)

 - コンテンツプロセスを侵害した攻撃者が、サンドボックスを部分的に回避して、クリップボード関連の IPC メッセージを介して任意のファイルを読み取る可能性があります。このバグの影響を受けるのは、Linux 向けの Firefox のみです。その他のオペレーティングシステムは影響を受けません。(CVE-2022-46872)

 - Firefox が <code>unsafe-hshes</code> CSP ディレクティブを実装していないため、コンテンツセキュリティポリシーで保護されているページにマークアップを挿入できた攻撃者が、実行可能スクリプトを注入できた可能性があります。これは、ドキュメントの指定されたコンテンツセキュリティポリシーによって厳しく制約されます。(CVE-2022-46873)

 - 長いファイル名のファイルは、有効な拡張子を削除するためにファイル名が切り捨てられ、悪意のある拡張子がそのまま残される可能性があります。これにより、ユーザーの混乱や悪意のあるコードの実行が引き起こされる可能性がありました。(CVE-2022-46874)

 - .atloc および .ftploc ファイルをダウンロードする時には、実行可能ファイルの警告は表示されませんでした。それは、ユーザーのコンピューターでコマンドを実行することが可能です。注: この問題は Mac OS オペレーティングシステムにのみ影響します。その他のオペレーティングシステムは影響を受けません。(CVE-2022-46875)

 - ブラウザを混乱させることで、フルスクリーン通知が遅延または抑制され、ユーザーの混乱やなりすまし攻撃が発生する可能性があります。(CVE-2022-46877)

 - Mozilla 開発者の Randell Jesup 氏、Valentin Gosu 氏、Olli Pettay 氏および Mozilla Fuzzing Team は、Firefox 107 と Firefox ESR 102.5 に存在するメモリ安全性のバグを報告しました。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、十分な労力をもってすればこれらの一部を悪用し、任意のコードを実行することが可能であると推測しています。(CVE-2022-46878)

 - Mozilla 開発者およびコミュニティメンバーの Lukas Bernhard 氏、Gabriele Svelto 氏、Randell Jesup 氏および Mozilla Fuzzing Team は、Firefox 107 に存在するメモリ安全性のバグを報告しました。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、十分な労力をもってすればこれらの一部を悪用し、任意のコードを実行することが可能であると推測しています。(CVE-2022-46879)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

遠端 Windows 主機上安裝的 Firefox 版本是 108.0 之前版本。因此，該應用程式受到 mfsa2022-51 公告中提及的多個弱點影響。

 - 過時的程式庫 (libusrsctp) 含有可能遭到惡意利用的弱點。
 (CVE-2022-46871)

 - 入侵內容處理程序的攻擊者可透過剪貼簿相關的 IPC 訊息部分逸出沙箱以讀取任意檔案。此錯誤只會影響 Linux 作業系統上的 Firefox。其他作業系統不受影響。(CVE-2022-46872)

 - 由於 Firefox 未實作<code>不安全雜湊</code> CSP 指示詞，能夠將標記插入頁面 (原受內容安全性原則保護) 中的攻擊者可能已經能夠插入可執行指令碼。這會受到文件指定內容安全性原則的嚴格限制。(CVE-2022-46873)

 - 具有長檔名的檔案可截斷其檔名以移除有效的副檔名，將惡意的副檔名保留在其位置。這可能導致使用者混淆和執行惡意程式碼。(CVE-2022-46874)

 - 下載 .atloc 和 .ftploc 檔案時未顯示可執行檔警告，因此可在使用者的電腦上執行命令。注意：此問題僅影響 Mac OS 作業系統。其他作業系統不受影響。(CVE-2022-46875)

 - 透過混淆瀏覽器，全螢幕通知可能會延遲或隱藏，進而可能導致使用者混淆或偽造攻擊。 (CVE-2022-46877)

 - Mozilla 開發人員 Randell Jesup、Valentin Gosu、Olli Pettay 和 Mozilla Fuzzing 團隊報告 Firefox 107 和 Firefox ESR 102.5 版中存在記憶體安全錯誤。其中某些錯誤顯示記憶體遭到損毀，我們推測若有心人士有意操控，可能利用其中部分錯誤執行任意程式碼。(CVE-2022-46878)

 - Mozilla 開發人員和社群成員 Lukas Bernhard、Gabriele Svelto 、Randell Jesup 及 Mozilla Fuzzing 團隊報告 Firefox 107 中存在記憶體安全錯誤。其中某些錯誤顯示記憶體遭到損毀，我們推測若有心人士有意操控，可能利用其中部分錯誤執行任意程式碼。(CVE-2022-46879)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

遠端 macOS 或 Mac OS X 主機上安裝的 Firefox 版本比 108.0 版舊。因此，該應用程式受到 mfsa2022-51 公告中提及的多個弱點影響。

 - 過時的程式庫 (libusrsctp) 含有可能遭到惡意利用的弱點。
 (CVE-2022-46871)

 - 入侵內容處理程序的攻擊者可透過剪貼簿相關的 IPC 訊息部分逸出沙箱以讀取任意檔案。此錯誤只會影響 Linux 作業系統上的 Firefox。其他作業系統不受影響。(CVE-2022-46872)

 - 由於 Firefox 未實作<code>不安全雜湊</code> CSP 指示詞，能夠將標記插入頁面 (原受內容安全性原則保護) 中的攻擊者可能已經能夠插入可執行指令碼。這會受到文件指定內容安全性原則的嚴格限制。(CVE-2022-46873)

 - 具有長檔名的檔案可截斷其檔名以移除有效的副檔名，將惡意的副檔名保留在其位置。這可能導致使用者混淆和執行惡意程式碼。(CVE-2022-46874)

 - 下載 .atloc 和 .ftploc 檔案時未顯示可執行檔警告，因此可在使用者的電腦上執行命令。注意：此問題僅影響 Mac OS 作業系統。其他作業系統不受影響。(CVE-2022-46875)

 - 透過混淆瀏覽器，全螢幕通知可能會延遲或隱藏，進而可能導致使用者混淆或偽造攻擊。 (CVE-2022-46877)

 - Mozilla 開發人員 Randell Jesup、Valentin Gosu、Olli Pettay 和 Mozilla Fuzzing 團隊報告 Firefox 107 和 Firefox ESR 102.5 版中存在記憶體安全錯誤。其中某些錯誤顯示記憶體遭到損毀，我們推測若有心人士有意操控，可能利用其中部分錯誤執行任意程式碼。(CVE-2022-46878)

 - Mozilla 開發人員和社群成員 Lukas Bernhard、Gabriele Svelto 、Randell Jesup 及 Mozilla Fuzzing 團隊報告 Firefox 107 中存在記憶體安全錯誤。其中某些錯誤顯示記憶體遭到損毀，我們推測若有心人士有意操控，可能利用其中部分錯誤執行任意程式碼。(CVE-2022-46879)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

リモートの Ubuntu 18.04LTS / 20.04LTS ホストには、USN-5782-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

 - 古いライブラリ (libusrsctp) に、悪用される可能性のある脆弱性が含まれていました。
 (CVE-2022-46871)

 - コンテンツプロセスを侵害した攻撃者が、サンドボックスを部分的に回避して、クリップボード関連の IPC メッセージを介して任意のファイルを読み取る可能性があります。このバグの影響を受けるのは、Linux 向けの Thunderbird のみです。その他のオペレーティングシステムは影響を受けません。(CVE-2022-46872)

 - Firefox が <code>unsafe-hshes</code> CSP ディレクティブを実装していないため、コンテンツセキュリティポリシーで保護されているページにマークアップを挿入できた攻撃者が、実行可能スクリプトを注入できた可能性があります。これは、ドキュメントの指定されたコンテンツセキュリティポリシーによって厳しく制約されます。(CVE-2022-46873)

 - 長いファイル名のファイルは、有効な拡張子を削除するためにファイル名が切り捨てられ、悪意のある拡張子がそのまま残される可能性があります。これにより、ユーザーの混乱や悪意のあるコードの実行が引き起こされる可能性があります。(CVE-2022-46874)

 - ブラウザを混乱させることで、フルスクリーン通知が遅延または抑制され、ユーザーの混乱やなりすまし攻撃が発生する可能性があります。(CVE-2022-46877)

 - Mozilla 開発者の Randell Jesup 氏、Valentin Gosu 氏、Olli Pettay 氏および Mozilla Fuzzing Team は、Firefox 107 と Firefox ESR 102.5 に存在するメモリ安全性のバグを報告しました。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、十分な労力をもってすればこれらの一部を悪用し、任意のコードを実行することが可能であると推測しています。(CVE-2022-46878)

 - Mozilla 開発者およびコミュニティメンバーの Lukas Bernhard 氏、Gabriele Svelto 氏、Randell Jesup 氏および Mozilla Fuzzing Team は、Firefox 107 に存在するメモリ安全性のバグを報告しました。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、十分な労力をもってすればこれらの一部を悪用し、任意のコードを実行することが可能であると推測しています。(CVE-2022-46879)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

远程 Windows 主机上安装的 Firefox 版本低于 108.0。因此，该应用程序受到 mfsa2022-51 公告中提及的多个漏洞的影响。

 - 一个过时的库 (libusrsctp) 包含可能被利用的漏洞。
 (CVE-2022-46871)

 - 危害内容进程的攻击者可通过与剪贴板相关的 IPC 消息部分转义沙盒以读取任意文件。此错误仅影响 Linux 版 Firefox。其他操作系统不受影响。(CVE-2022-46872)

 - 由于 Firefox 未实现 <code>unsafe-hashes</code> CSP 指令，能够向内容安全策略保护的页面注入标记的攻击者可能已经能够注入可执行脚本。这将受到文档的指定内容安全策略的严格限制。(CVE-2022-46873)

 - 具有长文件名的文件可被截断以删除有效的扩展名，而在其位置留下恶意的扩展名。这可能导致用户混淆和执行恶意代码。(CVE-2022-46874)

 - 下载 .atloc 和 .ftploc 文件时未显示可执行文件警告，这可造成攻击者在用户的计算机上运行命令。注意：此问题仅影响 Mac OS 操作系统。其他操作系统不受影响。(CVE-2022-46875)

 - 通过混淆浏览器，全屏通知可能被延迟或隐藏，从而导致出现潜在的用户混淆或欺骗攻击。(CVE-2022-46877)

 - Mozilla 开发人员 Randell Jesup、Valentin Gosu、Olli Pettay 及 Mozilla Fuzzing 团队报告 Firefox 107 与 Firefox ESR 102.5 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测若攻击者付出足够努力，就能利用部分错误运行任意代码。(CVE-2022-46878)

 - Mozilla 开发人员和社区成员 Lukas Bernhard、Gabriele Svelto、Randell Jesup 以及 Mozilla Fuzzing 团队报告 Firefox 107 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测若攻击者付出足够努力，就能利用部分错误运行任意代码。(CVE-2022-46879)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

An update of the mozjs package has been released.

The version of Firefox installed on the remote macOS or Mac OS X host is prior to 108.0. It is, therefore, affected by multiple vulnerabilities as referenced in the mfsa2022-51 advisory.

 - An out of date library (libusrsctp) contained vulnerabilities that could potentially be exploited.
 (CVE-2022-46871)

 - An attacker who compromised a content process could have partially escaped the sandbox to read arbitrary files via clipboard-related IPC messages. This bug only affects Firefox for Linux. Other operating systems are unaffected. (CVE-2022-46872)

 - Because Firefox did not implement the <code>unsafe-hashes</code> CSP directive, an attacker who was able to inject markup into a page otherwise protected by a Content Security Policy may have been able to inject executable script. This would be severely constrained by the specified Content Security Policy of the document. (CVE-2022-46873)

 - A file with a long filename could have had its filename truncated to remove the valid extension, leaving a malicious extension in its place. This could have potentially led to user confusion and the execution of malicious code. (CVE-2022-46874)

 - The executable file warning was not presented when downloading .atloc and .ftploc files, which can run commands on a user's computer. Note: This issue only affected Mac OS operating systems. Other operating systems are unaffected. (CVE-2022-46875)

 - By confusing the browser, the fullscreen notification could have been delayed or suppressed, resulting in potential user confusion or spoofing attacks. (CVE-2022-46877)

 - Mozilla developers Randell Jesup, Valentin Gosu, Olli Pettay, and the Mozilla Fuzzing Team reported memory safety bugs present in Firefox 107 and Firefox ESR 102.5. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. (CVE-2022-46878)

 - Mozilla developers and community members Lukas Bernhard, Gabriele Svelto, Randell Jesup, and the Mozilla Fuzzing Team reported memory safety bugs present in Firefox 107. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. (CVE-2022-46879)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

远程 macOS 或 Mac OS X 主机上安装的 Mozilla Firefox 版本低于 108.0。因此，该应用程序受到 mfsa2022-51 公告中提及的多个漏洞的影响。

 - 一个过时的库 (libusrsctp) 包含可能被利用的漏洞。
 (CVE-2022-46871)

 - 危害内容进程的攻击者可通过与剪贴板相关的 IPC 消息部分转义沙盒以读取任意文件。此错误仅影响 Linux 版 Firefox。其他操作系统不受影响。(CVE-2022-46872)

 - 由于 Firefox 未实现 <code>unsafe-hashes</code> CSP 指令，能够向内容安全策略保护的页面注入标记的攻击者可能已经能够注入可执行脚本。这将受到文档的指定内容安全策略的严格限制。(CVE-2022-46873)

 - 具有长文件名的文件可被截断以删除有效的扩展名，而在其位置留下恶意的扩展名。这可能导致用户混淆和执行恶意代码。(CVE-2022-46874)

 - 下载 .atloc 和 .ftploc 文件时未显示可执行文件警告，这可造成攻击者在用户的计算机上运行命令。注意：此问题仅影响 Mac OS 操作系统。其他操作系统不受影响。(CVE-2022-46875)

 - 通过混淆浏览器，全屏通知可能被延迟或隐藏，从而导致出现潜在的用户混淆或欺骗攻击。(CVE-2022-46877)

 - Mozilla 开发人员 Randell Jesup、Valentin Gosu、Olli Pettay 及 Mozilla Fuzzing 团队报告 Firefox 107 与 Firefox ESR 102.5 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测若攻击者付出足够努力，就能利用部分错误运行任意代码。(CVE-2022-46878)

 - Mozilla 开发人员和社区成员 Lukas Bernhard、Gabriele Svelto、Randell Jesup 以及 Mozilla Fuzzing 团队报告 Firefox 107 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测若攻击者付出足够努力，就能利用部分错误运行任意代码。(CVE-2022-46879)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

The remote host is affected by the vulnerability described in GLSA-202305-06 (Mozilla Firefox: Multiple Vulnerabilities)

 - An out of date library (libusrsctp) contained vulnerabilities that could potentially be exploited. This vulnerability affects Firefox < 108. (CVE-2022-46871)

 - An attacker who compromised a content process could have partially escaped the sandbox to read arbitrary files via clipboard-related IPC messages. *This bug only affects Thunderbird for Linux. Other operating systems are unaffected.*. This vulnerability affects Firefox < 108, Firefox ESR < 102.6, and Thunderbird < 102.6. (CVE-2022-46872)

 - Because Firefox did not implement the <code>unsafe-hashes</code> CSP directive, an attacker who was able to inject markup into a page otherwise protected by a Content Security Policy may have been able to inject executable script. This would be severely constrained by the specified Content Security Policy of the document. This vulnerability affects Firefox < 108. (CVE-2022-46873)

 - A file with a long filename could have had its filename truncated to remove the valid extension, leaving a malicious extension in its place. This could potentially led to user confusion and the execution of malicious code. *Note*: This issue was originally included in the advisories for Thunderbird 102.6, but a patch (specific to Thunderbird) was omitted, resulting in it actually being fixed in Thunderbird 102.6.1. This vulnerability affects Firefox < 108, Thunderbird < 102.6.1, Thunderbird < 102.6, and Firefox ESR < 102.6. (CVE-2022-46874)

 - The executable file warning was not presented when downloading .atloc and .ftploc files, which can run commands on a user's computer. *Note: This issue only affected Mac OS operating systems. Other operating systems are unaffected.*. This vulnerability affects Firefox < 108, Firefox ESR < 102.6, and Thunderbird < 102.6. (CVE-2022-46875)

 - By confusing the browser, the fullscreen notification could have been delayed or suppressed, resulting in potential user confusion or spoofing attacks. This vulnerability affects Firefox < 108. (CVE-2022-46877)

 - Mozilla developers Randell Jesup, Valentin Gosu, Olli Pettay, and the Mozilla Fuzzing Team reported memory safety bugs present in Thunderbird 102.5. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability affects Firefox < 108, Firefox ESR < 102.6, and Thunderbird < 102.6. (CVE-2022-46878)

 - Mozilla developers and community members Lukas Bernhard, Gabriele Svelto, Randell Jesup, and the Mozilla Fuzzing Team reported memory safety bugs present in Firefox 107. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability affects Firefox < 108. (CVE-2022-46879)

 - A missing check related to tex units could have led to a use-after-free and potentially exploitable crash. *Note*: This advisory was added on December 13th, 2022 after we better understood the impact of the issue. The fix was included in the original release of Firefox 105. This vulnerability affects Firefox ESR < 102.6, Firefox < 105, and Thunderbird < 102.6. (CVE-2022-46880)

 - An optimization in WebGL was incorrect in some cases, and could have led to memory corruption and a potentially exploitable crash. This vulnerability affects Firefox < 106, Firefox ESR < 102.6, and Thunderbird < 102.6. (CVE-2022-46881)

 - A use-after-free in WebGL extensions could have led to a potentially exploitable crash. This vulnerability affects Firefox < 107, Firefox ESR < 102.6, and Thunderbird < 102.6. (CVE-2022-46882)

 - A compromised web child process could disable web security opening restrictions, leading to a new child process being spawned within the <code>file://</code> context. Given a reliable exploit primitive, this new process could be exploited again leading to arbitrary file read. (CVE-2023-23597)

 - Mozilla: Arbitrary file read from GTK drag and drop on Linux (CVE-2023-23598)

 - Mozilla: Malicious command could be hidden in devtools output (CVE-2023-23599)

 - Per origin notification permissions were being stored in a way that didn't take into account what browsing context the permission was granted in. This lead to the possibility of notifications to be displayed during different browsing sessions. This bug only affects Firefox for Android. Other operating systems are unaffected. (CVE-2023-23600)

 - Mozilla: URL being dragged from cross-origin iframe into same tab triggers navigation (CVE-2023-23601)

 - Mozilla: Content Security Policy wasn't being correctly applied to WebSockets in WebWorkers (CVE-2023-23602)

 - Mozilla: Calls to <code>console.log</code> allowed bypasing Content Security Policy via format directive (CVE-2023-23603)

 - A duplicate <code>SystemPrincipal</code> object could be created when parsing a non-system html document via <code>DOMParser::ParseFromSafeString</code>. This could have lead to bypassing web security checks.
 (CVE-2023-23604)

 - Mozilla: Memory safety bugs fixed in Firefox 109 and Firefox ESR 102.7 (CVE-2023-23605)

 - Mozilla developers and the Mozilla Fuzzing Team reported memory safety bugs present in Firefox 108. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. (CVE-2023-23606)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Ubuntu 18.04 LTS / 20.04 LTS host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-5782-1 advisory.

    It was discovered that Firefox was using an out-of-date libusrsctp library. An attacker could possibly use     this library to perform a reentrancy issue on Firefox. (CVE-2022-46871)

    Nika Layzell discovered that Firefox was not performing a check on paste received from cross-processes. An     attacker could potentially exploit this to obtain sensitive information. (CVE-2022-46872)

    Pete Freitag discovered that Firefox did not implement the unsafe-hashes CSP directive. An attacker who     was able to inject markup into a page otherwise protected by a Content Security Policy may have been able     to inject an executable script. (CVE-2022-46873)

    Matthias Zoellner discovered that Firefox was not keeping the filename ending intact when using the drag-     and-drop event. An attacker could possibly use this issue to add a file with a malicious extension,     leading to execute arbitrary code. (CVE-2022-46874)

    Hafiizh discovered that Firefox was not handling fullscreen notifications when the browser window goes     into fullscreen mode. An attacker could possibly use this issue to spoof the user and obtain sensitive     information. (CVE-2022-46877)

    Multiple security issues were discovered in Firefox. If a user were tricked into opening a specially     crafted website, an attacker could potentially exploit these to cause a denial of service, obtain     sensitive information across domains, or execute arbitrary code. (CVE-2022-46878,

    CVE-2022-46879)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

远程 Ubuntu 18.04 LTS/20.04 LTS 主机上安装的程序包受到 USN-5782-1 公告中提及的多个漏洞的影响。

 - 一个过时的库 (libusrsctp) 包含可能被利用的漏洞。
 (CVE-2022-46871)

 - 危害内容进程的攻击者可通过与剪贴板相关的 IPC 消息部分转义沙盒以读取任意文件。此错误仅影响 Linux 版Thunderbird。其他操作系统不受影响。(CVE-2022-46872)

 - 由于 Firefox 未实现 <code>unsafe-hashes</code> CSP 指令，能够向内容安全策略保护的页面注入标记的攻击者可能已经能够注入可执行脚本。这将受到文档的指定内容安全策略的严格限制。(CVE-2022-46873)

 - 具有长文件名的文件可被截断以删除有效的扩展名，而在其位置留下恶意的扩展名。这可能导致用户混淆和执行恶意代码。(CVE-2022-46874)

 - 通过混淆浏览器，全屏通知可能被延迟或隐藏，从而导致出现潜在的用户混淆或欺骗攻击。(CVE-2022-46877)

 - Mozilla 开发人员 Randell Jesup、Valentin Gosu、Olli Pettay 及 Mozilla Fuzzing 团队报告 Firefox 107 与 Firefox ESR 102.5 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测若攻击者付出足够努力，就能利用部分错误运行任意代码。(CVE-2022-46878)

 - Mozilla 开发人员和社区成员 Lukas Bernhard、Gabriele Svelto、Randell Jesup 以及 Mozilla Fuzzing 团队报告 Firefox 107 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测若攻击者付出足够努力，就能利用部分错误运行任意代码。(CVE-2022-46879)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机受到 GLSA-202305-06 中所述漏洞的影响（Mozilla Firefox：多个漏洞）

 - 一个过时的库 (libusrsctp) 包含可能被利用的漏洞。此漏洞会影响 Firefox < 108。(CVE-2022-46871)

 - 危害内容进程的攻击者可通过与剪贴板相关的 IPC 消息部分转义沙盒以读取任意文件。 *此缺陷仅影响 Linux 系统上的 Thunderbird。其他操作系统不受影响。* 该漏洞影响 Firefox < 108、Firefox ESR < 102.6 和 Thunderbird < 102.6。(CVE-2022-46872)

 - 由于 Firefox 未实现 <code>unsafe-hashes</code> CSP 指令，能够向内容安全策略保护的页面注入标记的攻击者可能已经能够注入可执行脚本。这将受到文档的指定内容安全策略的严格限制。此漏洞会影响 Firefox < 108。(CVE-2022-46873)

 - 具有长文件名的文件可被截断以删除有效的扩展名，而在其位置留下恶意的扩展名。这可能导致用户混淆和执行恶意代码。( ) *注意*：此问题最初包含在 Thunderbird 102.6 的公告中，但缺少一个修补程序（特定于 Thunderbird），导致它实际上在 Thunderbird 102.6.1 中得到修复。该漏洞影响 Firefox < 108、Thunderbird < 102.6.1、Thunderbird < 102.6 和 Firefox ESR < 102.6。(CVE-2022-46874)

 - 下载 .atloc 和 .ftploc 文件时未显示可执行文件警告，这可造成攻击者在用户的计算机上运行命令。 *注意：此问题仅影响 Mac OS 操作系统。其他操作系统不受影响。* 该漏洞影响 Firefox < 108、Firefox ESR < 102.6 和 Thunderbird < 102.6。(CVE-2022-46875)

 - 通过混淆浏览器，全屏通知可能被延迟或隐藏，从而导致出现潜在的用户混淆或欺骗攻击。此漏洞会影响 Firefox < 108。(CVE-2022-46877)

 - Mozilla 开发人员 Randell Jesup、Valentin Gosu、Olli Pettay 及 Mozilla Fuzzing 团队报告 Thunderbird 102.5 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测如果攻击者进行足够的尝试，则可以利用此漏洞运行任意代码。该漏洞影响 Firefox < 108、Firefox ESR < 102.6 和 Thunderbird < 102.6。(CVE-2022-46878)

 - Mozilla 开发人员和社区成员 Lukas Bernhard、Gabriele Svelto、Randell Jesup 以及 Mozilla Fuzzing 团队报告 Firefox 107 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测如果攻击者进行足够的尝试，则可以利用此漏洞运行任意代码。此漏洞会影响 Firefox < 108。(CVE-2022-46879)

 - 缺少与 tex 单元相关的检查会造成释放后使用，并可能导致出现会被利用的崩溃。 *注意*：在更好地了解了此问题的影响之后，我们于 2022 年 12 月 13 日添加了此公告。此补丁包含在 Firefox 105 的原始版本中。该漏洞影响 Firefox ESR < 102.6、Firefox < 105 和 Thunderbird < 102.6。(CVE-2022-46880)

 - WebGL 中的优化在某些情况下不正确，可导致内存损坏和潜在可利用的崩溃。该漏洞影响 Firefox < 106、Firefox ESR < 102.6 和 Thunderbird < 102.6。(CVE-2022-46881)

 - WebGL 扩展程序中的释放后使用可能导致潜在的可利用崩溃。该漏洞影响 Firefox < 107、Firefox ESR < 102.6 和 Thunderbird < 102.6。(CVE-2022-46882)

 - 遭到破坏的 Web 子进程可禁用 Web 安全开放限制，从而导致在 <code> 文件中生成新的子进程：//</code> context。如果有可靠的漏洞利用原语，此新进程可再次遭到利用，导致任意文件读取。 (CVE-2023-23597)

 - Mozilla：在 Linux 上从 GTK 拖放读取任意文件 (CVE-2023-23598)

 - Mozilla：devtools 输出中可能隐藏恶意命令 (CVE-2023-23599)

 - 按来源存储通知权限的方式未考虑授予权限的浏览上下文。这可能导致在不同的浏览会话期间显示通知。此错误仅影响 Android 版 Firefox 。其他操作系统不受影响。(CVE-2023-23600)

 - Mozilla：将 URL 从跨源 iframe 拖动到同一选项卡会触发导航 (CVE-2023-23601)

 - Mozilla：内容安全策略未正确应用到 WebWorker 中的 WebSockets (CVE-2023-23602)

 - Mozilla：调用 <code>console.log</code> 允许通过格式指令 (CVE-2023-23603)

 - 通过 <code>DOMParser 解析非系统 html 文档时，可创建重复的 <code>SystemPrincipal</code> 对象：: ParseFromSafeString</code>。这可能导致绕过 Web 安全检查。
 (CVE-2023-23604)

 - Mozilla：在 Firefox 109 和 Firefox ESR 102.7 中修复了内存安全缺陷 (CVE-2023-23605)

 - Mozilla 开发人员和 Mozilla Fuzzing 团队报告 Firefox 108 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测若攻击者付出足够努力，就能利用部分错误运行任意代码。(CVE-2023-23606)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Ubuntu 18.04 LTS/20.04 LTS 主機上安裝的套件受到 USN-5782-1 公告中所提及的多個弱點影響。

 - 過時的程式庫 (libusrsctp) 含有可能遭到惡意利用的弱點。
 (CVE-2022-46871)

 - 入侵內容處理程序的攻擊者可透過剪貼簿相關的 IPC 訊息部分逸出沙箱以讀取任意檔案。此錯誤只會影響 Linux 作業系統上的 Thunderbird。其他作業系統不受影響。(CVE-2022-46872)

 - 由於 Firefox 未實作<code>不安全雜湊</code> CSP 指示詞，能夠將標記插入頁面 (原受內容安全性原則保護) 中的攻擊者可能已經能夠插入可執行指令碼。這會受到文件指定內容安全性原則的嚴格限制。(CVE-2022-46873)

 - 具有長檔名的檔案可截斷其檔名以移除有效的副檔名，將惡意的副檔名保留在其位置。這可能導致使用者混淆和執行惡意程式碼。(CVE-2022-46874)

 - 透過混淆瀏覽器，全螢幕通知可能會延遲或隱藏，進而可能導致使用者混淆或偽造攻擊。 (CVE-2022-46877)

 - Mozilla 開發人員 Randell Jesup、Valentin Gosu、Olli Pettay 和 Mozilla Fuzzing 團隊報告 Firefox 107 和 Firefox ESR 102.5 版中存在記憶體安全錯誤。其中某些錯誤顯示記憶體遭到損毀，我們推測若有心人士有意操控，可能利用其中部分錯誤執行任意程式碼。(CVE-2022-46878)

 - Mozilla 開發人員和社群成員 Lukas Bernhard、Gabriele Svelto 、Randell Jesup 及 Mozilla Fuzzing 團隊報告 Firefox 107 中存在記憶體安全錯誤。其中某些錯誤顯示記憶體遭到損毀，我們推測若有心人士有意操控，可能利用其中部分錯誤執行任意程式碼。(CVE-2022-46879)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機受到 GLSA-202305-06 中所述的弱點影響 (Mozilla Firefox：多個弱點)

 - 過時的程式庫 (libusrsctp) 含有可能遭到惡意利用的弱點。此弱點會影響 Firefox < 108。(CVE-2022-46871)

 - 入侵內容處理程序的攻擊者可透過剪貼簿相關的 IPC 訊息部分逸出沙箱以讀取任意檔案。 *此錯誤只會影響 Linux 作業系統上的 Thunderbird。其他作業系統不受影響。* 此弱點會影響 Firefox < 108、Firefox ESR < 102.6 和 Thunderbird < 102.6。(CVE-2022-46872)

 - 由於 Firefox 未實作<code>不安全雜湊</code> CSP 指示詞，能夠將標記插入頁面 (原受內容安全性原則保護) 中的攻擊者可能已經能夠插入可執行指令碼。這會受到文件指定內容安全性原則的嚴格限制。此弱點會影響 Firefox < 108。(CVE-2022-46873)

 - 具有長檔名的檔案可截斷其檔名以移除有效的副檔名，將惡意的副檔名保留在其位置。這可能導致使用者混淆和執行惡意程式碼。 *注意*：此問題最初包含在 Thunderbird 102.6 的公告中，但修補程式 (Thunderbird 專屬) 遭忽略，導致實際是在 Thunderbird 102.6.1 中進行修復。此弱點會影響 Firefox < 108、Thunderbird < 102.6.1、Thunderbird < 102.6 和 Firefox ESR < 102.6。(CVE-2022-46874)

 - 下載 .atloc 和 .ftploc 檔案時未顯示可執行檔警告，因此攻擊者可在使用者的電腦上執行命令。 *注意：此問題僅影響 Mac OS 作業系統。其他作業系統不受影響。* 此弱點會影響 Firefox < 108、Firefox ESR < 102.6 和 Thunderbird < 102.6。(CVE-2022-46875)

 - 透過混淆瀏覽器，可延遲或隱藏全螢幕通知，進而可能導致使用者混淆或偽造攻擊。此弱點會影響 Firefox < 108。(CVE-2022-46877)

 - Mozilla 開發人員 Randell Jesup、Valentin Gosu、Olli Pettay 和 Mozilla Fuzzing 團隊報告 Thunderbird 102.5 版中存在記憶體安全錯誤。某些錯誤顯示記憶體會遭到損毀，我們推測若有心人士有意操控，可能惡意利用其中部分錯誤執行任意程式碼。此弱點會影響 Firefox < 108、Firefox ESR < 102.6 和 Thunderbird < 102.6。(CVE-2022-46878)

 - Mozilla 開發人員和社群成員 Lukas Bernhard、Gabriele Svelto 、Randell Jesup 及 Mozilla Fuzzing 團隊報告 Firefox 107 中存在記憶體安全錯誤。某些錯誤顯示記憶體會遭到損毀，我們推測若有心人士有意操控，可能惡意利用其中部分錯誤執行任意程式碼。此弱點會影響 Firefox < 108。(CVE-2022-46879)

 - 缺少與 tex 單位相關的檢查可能會導致釋放後使用和可能遭惡意利用的當機問題。 *注意*：在我們深入了解問題的影響之後，於 2022 年 12 月 13 日新增了此公告。此修正包含在 Firefox 105 的原始版本中。此弱點會影響 Firefox ESR < 102.6、Firefox < 105 和 Thunderbird < 102.6。(CVE-2022-46880)

 - 在某些情況下，WebGL 中的最佳化不正確，可導致記憶體損毀和可能遭惡意利用的當機問題。此弱點會影響 Firefox < 106、Firefox ESR < 102.6 和 Thunderbird < 102.6。(CVE-2022-46881)

 - WebGL 延伸模組中的釋放後使用可導致遭惡意利用的當機問題。此弱點會影響 Firefox < 107、Firefox ESR < 102.6 和 Thunderbird < 102.6。(CVE-2022-46882)

 - 遭入侵的 Web 子處理程序可停用 Web 安全性開啟限制，進而導致在<code>檔案：//</code> 內容中衍生新的子處理程序。假設有一個可靠的惡意利用原語，這個新處理程序會再次遭到惡意利用，進而導致任意檔案讀取。(CVE-2023-23597)

 - Mozilla：在 Linux 上從 GTK 拖放讀取任意檔案 (CVE-2023-23598)

 - Mozilla：惡意命令可能隱藏在 devtools 輸出中 (CVE-2023-23599)

 - 儲存各來源通知權限的方式並未考慮授予權限的瀏覽內容，這可能會導致在不同的瀏覽工作階段期間顯示通知。此問題僅會影響 Android 版 Firefox。其他作業系統不受影響。(CVE-2023-23600)

 - Mozilla：將 URL 從跨來源 iframe 拖曳至相同的索引標籤會觸發導覽 (CVE-2023-23601)

 - Mozilla：內容安全性原則並未正確套用至 WebWorker 中的 WebSockets (CVE-2023-23602)

 - Mozilla：呼叫 <code>console.log</code> 允許透過格式指示詞繞過內容安全性原則 (CVE-2023-23603)

 - 剖析非系統 html 文件時，可建立重複的 <code>SystemPrincipal</code> 物件，方法是透過 <code>DOMParser: : ParseFromSafeString</code>。這可導致略過 Web 安全性檢查。
 (CVE-2023-23604)

 - Mozilla：已在 Firefox 109 和 Firefox ESR 102.7 中修正的記憶體安全性錯誤 (CVE-2023-23605)

 - Mozilla 開發人員和 Mozilla Fuzzing 團隊報告 Firefox 108 中存在記憶體安全錯誤。其中某些錯誤顯示記憶體遭到損毀，我們推測若有心人士有意操控，可能利用其中部分錯誤執行任意程式碼。(CVE-2023-23606)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
168651	Mozilla Firefox < 108.0	Nessus	Windows	2022/12/13	2023/1/26	high
168651	Mozilla Firefox < 108.0	Nessus	Windows	2022/12/13	2023/1/26	high
168652	Mozilla Firefox < 108.0	Nessus	MacOS X Local Security Checks	2022/12/13	2023/2/3	high
168651	Mozilla Firefox < 108.0	Nessus	Windows	2022/12/13	2023/1/26	high
168652	Mozilla Firefox < 108.0	Nessus	MacOS X Local Security Checks	2022/12/13	2023/2/3	high
168840	Ubuntu 18.04 LTS / 20.04 LTS: Firefox の脆弱性 (USN-5782-1)	Nessus	Ubuntu Local Security Checks	2022/12/15	2024/8/27	high
168651	Mozilla Firefox < 108.0	Nessus	Windows	2022/12/13	2023/1/26	high
204437	Photon OS 5.0: Mozjs PHSA-2023-5.0-0035	Nessus	PhotonOS Local Security Checks	2024/7/24	2024/7/24	critical
168652	Mozilla Firefox < 108.0	Nessus	MacOS X Local Security Checks	2022/12/13	2023/2/3	high
168652	Mozilla Firefox < 108.0	Nessus	MacOS X Local Security Checks	2022/12/13	2023/2/3	high
175044	GLSA-202305-06 : Mozilla Firefox: Multiple Vulnerabilities	Nessus	Gentoo Local Security Checks	2023/5/3	2023/8/29	critical
168840	Ubuntu 18.04 LTS / 20.04 LTS : Firefox vulnerabilities (USN-5782-1)	Nessus	Ubuntu Local Security Checks	2022/12/15	2024/8/27	high
168840	Ubuntu 18.04 LTS / 20.04 LTS：Firefox 漏洞 (USN-5782-1)	Nessus	Ubuntu Local Security Checks	2022/12/15	2024/8/27	high
175044	GLSA-202305-06 : Mozilla Firefox：多个漏洞	Nessus	Gentoo Local Security Checks	2023/5/3	2023/8/29	critical
168840	Ubuntu 18.04 LTS / 20.04 LTS：Firefox 弱點 (USN-5782-1)	Nessus	Ubuntu Local Security Checks	2022/12/15	2024/8/27	high
175044	GLSA-202305-06：Mozilla Firefox：多個弱點	Nessus	Gentoo Local Security Checks	2023/5/3	2023/8/29	critical

检测

插件搜索

high

high

high

high

high

high

high

critical

high

high

critical

high

high

critical

high

critical