远程 macOS 或 Mac OS X 主机上安装的 Mozilla Firefox ESR 45.x 版本为低于 45.6。因而会受到以下漏洞的影响：- 由于解除引用已释放的内存或未正确验证用户提供的输入，而存在多个内存损坏问题，例如正在处理文档状态变更、HTML5 内容或其他项目时。未经身份验证的远程攻击者可利用这些问题造成拒绝服务情况或执行任意代码。(CVE-2016-9893) - 由于内容安全策略 (CSP) 不允许内嵌 JavaScript，但仍执行字幕元素的事件处理程序，而存在安全绕过漏洞。未经身份验证的远程攻击者可利用此问题影响完整性。(CVE-2016-9895) - 当 libGLES 中的 WebGL 函数使用带有可变数组的矢量构造函数时，libGLES 中存在内存损坏问题。未经身份验证的远程攻击者可利用此问题造成拒绝服务情况或执行任意代码。(CVE-2016-9897) - 在处理 DOM 子树时，编辑器中存在释放后使用错误，尤其是在 editor/libeditor/HTMLEditor.cpp 文件中。未经身份验证的远程攻击者可利用此问题造成拒绝服务情况或执行任意代码。(CVE-2016-9898) - 在操作 DOM 事件并删除音频元素时，由于未正确处理节点采用失败，dom/base/nsNodeUtils.cpp 文件中的 nsNodeUtils::CloneAndAdopt() 函数存在释放后使用错误。未经身份验证的远程攻击者可利用此问题造成拒绝服务情况或执行任意代码。(CVE-2016-9899) - dom/base/nsDataDocumentContentPolicy.cpp 文件的 nsDataDocumentContentPolicy::ShouldLoad() 函数中存在安全绕过漏洞，允许 SVG 图像通过 ’data:’URL 不当加载外部源。未经身份验证的远程攻击者可利用此问题泄露敏感的跨域信息。(CVE-2016-9900) - 由于未正确清理来自 Pocket 服务器的 HTML 标签，而存在缺陷。未经身份验证的远程攻击者可以利用此问题，在 about:pocket-saved（无权限）页面中运行 JavaScript 代码，通过 HTML 注入来访问 Pocket 的消息传递 API。(CVE-2016-9901) - 由于未正确验证从其自身页面触发的事件源，Pocket 工具栏按钮中存在缺陷，尤其是在 browser/extensions/pocket/content/main.js 中。未经身份验证的远程攻击者可以利用此问题，从其他源向 Pocket 环境中注入内容和命令。请注意，该问题不会影响启用 e10s 的用户。(CVE-2016-9902) - 存在信息泄露漏洞，允许未经身份验证的远程攻击者通过使用 JavaScript Map/Set 定时攻击，确定特定环境中的另一分段或区域是否使用 Atom。(CVE-2016-9904) - 在添加和删除子文档时，dom/base/nsDocument.cpp 文件的 nsDocument::EnumerateSubDocuments() 函数中存在内存损坏问题。未经身份验证的远程攻击者可利用此问题，通过特制的网页，造成拒绝服务情况或执行任意代码。(CVE-2016-9905)

检测

Mozilla Firefox ESR 45.x < 45.6 Multiple Vulnerabilities (macOS)

critical Nessus 插件 ID 95883

版本 1.8