USN-3645-1 修复了 Firefox 中的漏洞。此更新造成用户在一些情况中遭遇长 UI 停顿的问题。
此更新修复了该问题。

我们对不便之处表示抱歉。

在 Firefox 中发现多个安全问题。如果用户受到诱骗打开特制的网站，攻击者可能利用这些问题通过应用程序崩溃造成拒绝服务、绕过同源限制、进行跨站脚本 (XSS) 攻击、无需用户交互而安装轻量级主题、在下载面板中伪造文件名，或执行任意代码。
(CVE-2018-5150, CVE-2018-5151, CVE-2018-5153, CVE-2018-5154, CVE-2018-5155, CVE-2018-5157, CVE-2018-5158, CVE-2018-5159, CVE-2018-5160, CVE-2018-5163, CVE-2018-5164, CVE-2018-5168, CVE-2018-5173, CVE-2018-5175, CVE-2018-5177, CVE-2018-5180)

使用 WebExtension 时发现多个安全问题。如果用户受到诱骗安装特别构建的扩展，攻击者可能利用这些问题获取敏感信息或绕过安全限制。(CVE-2018-5152, CVE-2018-5166)

发现 Web 控制台和 JavaScript 调式程序未能正确链接 chrome: 和 JavaScript URL。如果用户受到诱骗点击特别构建的链接，攻击者可能利用此问题进行跨站点脚本 (XSS) 攻击。(CVE-2018-5167)

发现将链接文本拖放到主页按钮可导致主页包含 chrome 页面。如果用户受到诱骗将特别构建的链接拖放到主页按钮，攻击者可能利用此问题绕过安全限制。(CVE-2018-5169)

发现即时书签页和 PDF 查看器可运行从剪贴板粘贴的脚本。如果用户受到诱骗复制并粘贴特别构建的文本，攻击者可能利用此问题进行跨站脚本 (XSS) 攻击。(CVE-2018-5172)

发现 JSON 查看器未能正确链接 javascript: URL。如果用户受到诱骗点击特别构建的链接，攻击者可能利用此问题获取敏感信息。(CVE-2018-5176)

发现将 file: URL 拖动到其他程序中运行的选项卡，会造成在该程序中打开此文件。如果用户受到诱骗拖动 file: URL，攻击者可能利用此问题绕过预期安全策略。(CVE-2018-5181)

发现将 file: URL 的文本拖动到地址栏，会打开指定文件。如果用户受到诱骗将特制文本拖放到地址栏，攻击者可能利用此问题绕过安全策略。
(CVE-2018-5182)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

检测

Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS：Firefox 回归 (USN-3645-2)

critical Nessus 插件 ID 109940

未找到依赖项