Mozilla Firefox 已更新到版本 28.0，获得若干增强、缺陷补丁和安全补丁。Mozilla NSPR 已更新到 4.10.4 并获得增强、缺陷补丁和安全补丁。Mozilla NSS 已更新到 3.15.5，获得若干增强、缺陷补丁和安全补丁。

MozillaFirefox 中的更改：

- 更新到 Firefox 28.0 (bnc#868603)

- MFSA 2014-15/CVE-2014-1493/CVE-2014-1494 多项内存安全危害

- MFSA 2014-17/CVE-2014-1497 (bmo#966311) 解码 WAV 文件期间发生越界读取

- MFSA 2014-18/CVE-2014-1498 (bmo#935618) crypto.generateCRMFRequest 不验证密钥的类型

- MFSA 2014-19/CVE-2014-1499 (bmo#961512) 对 WebRTC 权限提示的欺骗攻击

- MFSA 2014-20/CVE-2014-1500 (bmo#956524) onbeforeunload 和 JavaScript 导航 DOS

- MFSA 2014-22/CVE-2014-1502 (bmo#972622) WebGL 内容从一个域注入到另一个域中进行渲染

- MFSA 2014-23/CVE-2014-1504 (bmo#911547) 数据的内容安全策略：会话恢复时不保留文档

- MFSA 2014-26/CVE-2014-1508 (bmo#963198) 通过 MathML 中渲染多边形泄露信息

- MFSA 2014-27/CVE-2014-1509 (bmo#966021) 渲染 PDF 字体期间 Cairo 中内存损坏

- MFSA 2014-28/CVE-2014-1505 (bmo#941887) 通过 feDisplacementMap 泄露 SVG 过滤器信息

- MFSA 2014-29/CVE-2014-1510/CVE-2014-1511（bmo#982906、bmo#982909）使用 WebIDL 实现的 API 升级权限

- MFSA 2014-30/CVE-2014-1512 (bmo#982957) TypeObject 中的释放后使用

- MFSA 2014-31/CVE-2014-1513 (bmo#982974) 通过中立 ArrayBuffer 对象进行越界读取/写入

- MFSA 2014-32/CVE-2014-1514 (bmo#983344) 中立后通过 TypedArrayObject 进行越界写入

- 需要 NSPR 4.10.3 和 NSS 3.15.5

- 新的构建依赖关系（和建议）：

- libpulse

- JS 数学正确性问题 (bmo#941381)

mozilla-nspr 中的更改：

- 更新到版本 4.10.4

- bmo#767759：添加对新的 x32 abi 的支持

- bmo#844784：PR_EnterMonitor 中的线程数据争用

- bmo#939786：nsprpub/pr/src/pthreads/ptthread.c:137 _pt_root 数据争用

- bmo#958796：设置了自定义堆栈大小的 _beginthreadex 用户可能无法获得想要的行为

- bmo#963033：NSPR 的 AArch64 支持更新

- bmo#969061：在 prcountr.c 和 prtrace.c 中的 PRCList 上迭代时错误的 end-of-list 测试

- bmo#971152：linux 上的 IPv6 检测依赖 /proc/net/if_inet6 的可用性

- 更新到版本 4.10.3

- bmo#749849：确保将释放特定于线程的数据密钥。

- bmo#941461：不通过不一致的内存访问来编译 android。

- bmo#932398：添加 msync/FlushViewOfFile 的可移植版本 PR_SyncMemMap。

- bmo#952621：修复了对 PR_Lock 中 lock->owner 的线程不安全访问。

- bmo#957458：修复了锁定排名检查代码中的多个缺陷。

- bmo#936320：为 Linux 上的 IPv6 支持使用替代测试以避免打开套接字。

mozilla-nss 中的更改：

- 更新到 3.15.5

- Firefox 28 所需

- 导出 FREEBL_LOWHASH 以获得正确的默认标头 (bnc#865539) 新功能

- 添加了对 TLS 应用程序层协议协商 (ALPN) 扩展的支持。可使用两个 SSL 套接字选项 SSL_ENABLE_NPN 和 SSL_ENABLE_ALPN 来控制应将 NPN 还是 ALPN（还是两者）用于应用程序层协议协商。

- 添加了 TLS 填充扩展。该扩展类型值为 35655，IANA 分配官方扩展类型值时，该值可能发生变更。NSS 在必要时自动向 ClientHello 提供填充扩展。

- 添加了在 certt.h 中定义的新宏 CERT_LIST_TAIL，用于获得 CERTCertList 的末尾。值得注意的变更

- bmo#950129：改进验证 OCSP 响应时的 OCSP 获取策略

- bmo#949060：验证 ssl_WriteV（通过 PR_Writev 调用）的 iov 输入参数（PRIOVec 结构的阵列）。将 struct iov 转换为 PRIOVec 时，应用程序仍应注意，因为两个结构的 iov_len 成员具有不同的类型 (size_t vs. int)。size_t 无符号且可能大于 int。

检测

openSUSE 安全更新：MozillaFirefox (openSUSE-SU-2014:0448-1)

high Nessus 插件 ID 75307

未找到变更日志