openSUSE 安全更新：MozillaFirefox (openSUSE-SU-2014:0599-1)
critical Nessus 插件 ID 75346
语言：
简介
远程 openSUSE 主机缺少安全更新。描述
这是到 29.0 版的 MozillaFirefox 更新：- MFSA 2014-34/CVE-2014-1518/CVE-2014-1519 多项内存安全危害
- MFSA 2014-36/CVE-2014-1522 (bmo#995289) Web 音频内存损坏问题
- MFSA 2014-37/CVE-2014-1523 (bmo#969226) 解码 JPG 图像时的越界读取
- MFSA 2014-38/CVE-2014-1524 (bmo#989183) 使用非 XBL 对象作为 XBL 时的缓冲区溢出
- MFSA 2014-39/CVE-2014-1525 (bmo#989210) HTML 视频的文本跟踪管理器中的释放后使用
- MFSA 2014-41/CVE-2014-1528 (bmo#963962) Cairo 中存在越界写入
- MFSA 2014-42/CVE-2014-1529 (bmo#987003) 存在通过 Web 通知 API 的权限升级
- MFSA 2014-43/CVE-2014-1530 (bmo#895557) 利用历史记录导航的跨站脚本 (XSS)
- MFSA 2014-44/CVE-2014-1531 (bmo#987140) 调整图像大小时 imgLoader 中的释放后使用
- MFSA 2014-45/CVE-2014-1492 (bmo#903885) 通配符证书的 IDNA 域名匹配不正确（已通过 NSS 3.16 修复）
- MFSA 2014-46/CVE-2014-1532 (bmo#966006) nsHostResolver 中的释放后使用
- MFSA 2014-47/CVE-2014-1526 (bmo#988106) 调试程序可通过 JavaScript 绕过 XrayWrapper
- 衍合了修补程序
- 删除了过时的修补程序
- firefox-browser-css.patch
- mozilla-aarch64-599882cfb998.diff
- mozilla-aarch64-bmo-963028.patch
- mozilla-aarch64-bmo-963029.patch
- mozilla-aarch64-bmo-963030.patch
- mozilla-aarch64-bmo-963031.patch
- 需要 NSS 3.16
- 增加了 mozilla-icu-strncat.patch 以修复构建后检查
- 添加了 mozilla-aarch64-599882cfb998.patch、mozilla-aarch64-bmo-810631.patch、mozilla-aarch64-bmo-962488.patch、mozilla-aarch64-bmo-963030.patch、mozilla-aarch64-bmo-963027.patch、mozilla-aarch64-bmo-963028.patch、mozilla-aarch64-bmo-963029.patch、mozilla-aarch64-bmo-963023.patch、mozilla-aarch64-bmo-963024.patch、mozilla-aarch64-bmo-963031.patch：AArch64 移植
- 添加针对 bmo#973977 的修补程序
- mozilla-ppc64-xpcom.patch
- 刷新 mozilla-ppc64le-xpcom.patch 修补程序
- 针对 Mozilla > 24.0 构建系统调整 mozilla-ppc64le-xpcom.patch
这也是到 3.16 版的 mozilla-nss 更新：
- Firefox 29 所需
- bmo#903885 - (CVE-2014-1492) 在通配符证书中，通配符字符不应嵌入国际化域名的 U 字标签中。请参阅 7.2 部分 RFC 6125 中的最后一项要点。
- 支持 Linux x32 ABI。要为 Linux x32 目标构建，请在构建 NSS 时设置环境变量 USE_X32=1。新函数：
- NSS_CMSSignerInfo_Verify 新宏
- 首先在 SSL 3.0 中定义的 TLS_RSA_WITH_RC4_128_SHA、TLS_RSA_WITH_3DES_EDE_CBC_SHA 等加密套件现在可使用其在 TLS 中的正式 IANA 名称（带 TLS_ 前缀）称呼。以前，它们必须使用其在 SSL 3.0 中的名称（带 SSL_ 前缀）称呼。值得注意的更改：
- 默认启用 ECC。构建 NSS 时不再需要设置环境变量 NSS_ENABLE_ECC=1。要禁用 ECC，请在构建 NSS 时设置环境变量 NSS_DISABLE_ECC=1。
- 评估名称限制时，libpkix 不应包含 DNS 名称形式的 CA 公用名。
- AESKeyWrap_Decrypt 不应为无效的密钥返回 SECSuccess。
- 修复 sec_pkcs12_new_asafe 中的内存损坏。
- 如果设置了 NSS_SDB_USE_CACHE 环境变量，请跳过运行时测试 sdb_measureAccess。
- 内置的 roots 模块已更新到 1.97 版，此版本添加、删除并且不再信任某些证书。
- atob 实用工具已改进为自动忽略非 base64 格式的文本行。
- certutil 实用工具已改进为除了支持现有 3 版证书，还支持创建 1 版和 2 版证书。
解决方案
更新受影响的 MozillaFirefox 程序包。另见
https://bugzilla.novell.com/show_bug.cgi?id=875378
https://lists.opensuse.org/opensuse-updates/2014-05/msg00010.html
插件详情
严重性: Critical
ID: 75346
文件名: openSUSE-2014-336.nasl
版本: 1.4
类型: local
代理: unix
发布时间: 2014/6/13
最近更新时间: 2021/1/19
支持的传感器: Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 6.7
CVSS v2
风险因素: Critical
基本分数: 10
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
漏洞信息
CPE: p-cpe:/a:novell:opensuse:mozillafirefox, p-cpe:/a:novell:opensuse:mozillafirefox-branding-upstream, p-cpe:/a:novell:opensuse:mozillafirefox-buildsymbols, p-cpe:/a:novell:opensuse:mozillafirefox-debuginfo, p-cpe:/a:novell:opensuse:mozillafirefox-debugsource, p-cpe:/a:novell:opensuse:mozillafirefox-devel, p-cpe:/a:novell:opensuse:mozillafirefox-translations-common, p-cpe:/a:novell:opensuse:mozillafirefox-translations-other, p-cpe:/a:novell:opensuse:libfreebl3, p-cpe:/a:novell:opensuse:libfreebl3-32bit, p-cpe:/a:novell:opensuse:libfreebl3-debuginfo, p-cpe:/a:novell:opensuse:libfreebl3-debuginfo-32bit, p-cpe:/a:novell:opensuse:libsoftokn3, p-cpe:/a:novell:opensuse:libsoftokn3-32bit, p-cpe:/a:novell:opensuse:libsoftokn3-debuginfo, p-cpe:/a:novell:opensuse:libsoftokn3-debuginfo-32bit, p-cpe:/a:novell:opensuse:mozilla-nss, p-cpe:/a:novell:opensuse:mozilla-nss-32bit, p-cpe:/a:novell:opensuse:mozilla-nss-certs, p-cpe:/a:novell:opensuse:mozilla-nss-certs-32bit, p-cpe:/a:novell:opensuse:mozilla-nss-certs-debuginfo, p-cpe:/a:novell:opensuse:mozilla-nss-certs-debuginfo-32bit, p-cpe:/a:novell:opensuse:mozilla-nss-debuginfo, p-cpe:/a:novell:opensuse:mozilla-nss-debuginfo-32bit, p-cpe:/a:novell:opensuse:mozilla-nss-debugsource, p-cpe:/a:novell:opensuse:mozilla-nss-devel, p-cpe:/a:novell:opensuse:mozilla-nss-sysinit, p-cpe:/a:novell:opensuse:mozilla-nss-sysinit-32bit, p-cpe:/a:novell:opensuse:mozilla-nss-sysinit-debuginfo, p-cpe:/a:novell:opensuse:mozilla-nss-sysinit-debuginfo-32bit, p-cpe:/a:novell:opensuse:mozilla-nss-tools, p-cpe:/a:novell:opensuse:mozilla-nss-tools-debuginfo, cpe:/o:novell:opensuse:12.3, cpe:/o:novell:opensuse:13.1
必需的 KB 项: Host/local_checks_enabled, Host/SuSE/release, Host/SuSE/rpm-list, Host/cpu
补丁发布日期: 2014/5/1
参考资料信息
CVE: CVE-2014-1492, CVE-2014-1518, CVE-2014-1519, CVE-2014-1522, CVE-2014-1523, CVE-2014-1524, CVE-2014-1525, CVE-2014-1526, CVE-2014-1528, CVE-2014-1529, CVE-2014-1530, CVE-2014-1531, CVE-2014-1532