已在 mozilla NSS、firefox 和 thunderbird 中识别并修复了安全问题：

DigiCert Sdn 颁发的 22 个弱 512 位证书。Bhd 证书颁发机构已从根 CA 存储空间中吊销。此问题已通过 rootcerts-20111103.00 和 nss-3.13 修复。DigiCert Sdn.Bhd 为 Entrust 和 Verizon (GTE CyberTrust) 之下的马来西亚附属证书颁发机构。其与美国公司 DigiCert, Inc.（Mozilla 的根计划成员）无联盟关系。

Mozilla Network Security Services (NSS) 中有不受信任的搜索路径漏洞，可能允许本地用户通过顶层目录中的特洛伊木马程序 pkcs11.txt 文件取得权限 (CVE-2011-3640)。

低于 3.6.24 和 4.x 至 7.0 的 Mozilla Firefox 以及低于 3.1.6 和 5.0 至 7.0 的 Thunderbird 中的跨站脚本 (XSS) 漏洞允许远程攻击者通过使用 Shift JIS 编码构建的文本注入任意 Web 脚本或 HTML (CVE-2011-3648)。

低于 3.6.24 和 4.x 至 7.0 的 Mozilla Firefox 以及低于 3.1.6 和 5.0 至 7.0 的 Thunderbird 未正确处理包含众多函数的 JavaScript 文件，这允许受用户协助的远程攻击者通过由调试 API 访问的构建文件造成拒绝服务（内存损坏和应用程序崩溃）或造成其他不明影响，这一点已由 Firebug 证实 (CVE-2011-3650)。

下列漏洞仅影响 Mandriva Linux 2011：

Mozilla Firefox 7.0 以及 Thunderbird 7.0 的浏览器引擎中存在多种不明漏洞，允许远程攻击者通过未知矢量造成拒绝服务（内存损坏和应用程序崩溃）或执行任意代码 (CVE-2011-3651)。

低于 8.0 的 Mozilla Firefox 以及低于 8.0 的 Thunderbird 中的浏览器引擎未正确分配内存，这允许远程攻击者通过不明矢量造成拒绝服务（内存损坏和应用程序崩溃）或执行任意代码 (CVE-2011-3652)。

低于 8.0 的 Mozilla Firefox 以及低于 8.0 的 Thunderbird 中的浏览器引擎未正确处理从 SVG mpath 元素到非 SVG 元素的链接，这允许远程攻击者通过不明矢量造成拒绝服务（内存损坏和应用程序崩溃）或执行任意代码 (CVE-2011-3654)。

Mozilla Firefox 4.x 至 7.0 以及 Thunderbird 5.0 至 7.0 在未检查是否使用 NoWaiverWrapper 封装程序的情况下执行访问控制，这允许远程攻击者通过构建的网站获取权限 (CVE-2011-3655)。

下列漏洞仅影响 Mandriva Enterpriser Server 5.2 和 Mandriva Linux 2010.2：

在 3.6.24 版之前的 Mozilla Firefox 和 3.1.6 版之前的 Thunderbird 中，JSSubScriptLoader 在调用附加组件中的 loadSubScript 方法期间，未正确处理 XPCNativeWrappers，这会让远程攻击者更容易通过利用某些解包行为的特别构建的网站获取权限；这是与 CVE-2011-3004 相关的问题 (CVE-2011-3647)。

此外，已重新构建一些必要的程序包并作为更新提供。

检测

Mandriva Linux 安全公告：mozilla (MDVSA-2011:169)

critical Nessus 插件 ID 56765

未找到变更日志