远程 Debian 11/12 主机上安装的多个程序包受到 dsa-5663 公告中提及的多个漏洞影响。

  - 窗口还未成为焦点时，权限提示输入延迟可能会到期。这使其容易遭到恶意网站的点击劫持攻击。该漏洞会影响 Firefox < 124 和 Firefox ESR < 115.10。
    (CVE-2024-2609)

  - 对要处理的 HTTP/2 CONTINUATION 框架的数量无限制。服务器可能会滥用此漏洞在浏览器中造成内存不足的情况。此漏洞会影响 Firefox < 125 和 Firefox ESR < 115.10。(CVE-2024-3302)

  - 应用 JIT 优化时，GetBoundName 可返回错误的对象版本。此漏洞会影响 Firefox < 125 和 Firefox ESR < 115.10。(CVE-2024-3852)

  - 在某些代码模式中，JIT 未正确优化切换语句，并生成了包含越界读取问题的代码。此漏洞会影响 Firefox < 125 和 Firefox ESR < 115.10。(CVE-2024-3854)

  - JIT 在某些情况下为参数创建了错误的代码。这可能会导致程序在垃圾收集期间因释放后使用问题而发生崩溃。此漏洞会影响 Firefox < 125 和 Firefox ESR < 115.10。
    (CVE-2024-3857)

  - 32 位版本上存在可导致越界读取的整数溢出漏洞，通过畸形 OpenType 字体可触发此漏洞。此漏洞会影响 Firefox < 125 和 Firefox ESR < 115.10。(CVE-2024-3859)

  - 如果将 AlignedBuffer 分配给自身，则后续的自行移动可导致参考计数错误，并于随后发生释放后使用问题。此漏洞会影响 Firefox < 125 和 Firefox ESR < 115.10。(CVE-2024-3861)

  - Firefox 124、Firefox ESR 115.9 和 Thunderbird 115.9 中存在内存安全缺陷。此错误显示出内存损坏迹象，我们推测如果攻击者进行足够的尝试，则可以利用此漏洞运行任意代码。此漏洞会影响 Firefox < 125 和 Firefox ESR < 115.10。(CVE-2024-3864)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Debian dsa-5663：firefox-esr - 安全更新

medium Nessus 插件 ID 193446

版本 1.0