Mozilla Firefox 已更新到 4.0.1 安全版本。

MFSA 2011-12：Mozilla 开发人员发现并修复了 Firefox 和其他基于 Mozilla 的产品所使用的浏览器引擎中的多个内存安全缺陷。这些缺陷中的一部分在特定情况下可导致内存损坏，我们推测只要通过足够的手段，至少能利用其中部分缺陷来运行任意代码。鸣谢

Mozilla 开发人员 Boris Zbarsky、Gary Kwong、Jesse Ruderman、Michael Wu、Nils、Scoobidiver 和 Ted Mielczarek 报告了影响 Firefox 4 的内存安全问题。(CVE-2011-0079)

Mozilla 开发人员 Scoobidiver 报告了影响 Firefox 4 和 Firefox 3.6 的内存安全问题 (CVE-2011-0081)

Ian Beer 报告了影响 Firefox 4、Firefox 3.6 和 Firefox 3.5 的崩溃。(CVE-2011-0070)

MFSA 2011-17 / CVE-2011-0068：在 WebGL 功能中发现了两种可能被利用来运行恶意代码的崩溃，这两种崩溃已在 Firefox 4.0.1 中修复。此外，可能利用 WebGLES 库绕过最近 Windows 版本的安全功能。WebGL 功能已在 Firefox 4 中引入；这些问题不影响旧版本。

Nils 报告 Windows 版 Firefox 中的 WebGLES 库在编译时未纳入 ASLR 保护。发现了可利用的内存损坏缺陷的攻击者可在 Windows Vista 和 Windows 7 上利用这些库绕过 ASLR，这样就可以像在 Windows XP 或其他平台上一样，在这些平台上利用该缺陷。

Mozilla 研究人员 Christoph Diehl 报告了 WebGLES 库中一种可能被利用的缓冲区溢出。

Yuri Ko 向 Chrome 安全团队报告了 WebGLES 库中一种可能被利用的溢出。我们在此感谢他们与我们合作开发此补丁。

MFSA 2011-18 / CVE-2011-1202：Chrome 安全团队的 Chris Evans 报告称 XSLT generate-id() 函数返回一个字符串，该字符串揭示了内存堆上某个对象的特定有效地址。在某些情况下，此地址是攻击者在利用其他内存损坏缺陷时可用的宝贵信息，其可以使缺陷利用更稳定，或可针对浏览器或操作系统中的缓解功能起效。

检测

openSUSE 安全更新：MozillaFirefox (MozillaFirefox-4457)

critical Nessus 插件 ID 75944

未找到变更日志