更新 Mozilla Firefox 和 Thunderbird 以修复多个重要漏洞。

Mozilla Firefox 更新到 37.0.1。Mozilla Thunderbird 已更新到 31.6.0。作为依存关系，mozilla-nspr 已更新到 4.10.8。

Mozilla Firefox 中修复了下列漏洞：

- 多项内存安全危害 (MFSA 2015-30/CVE-2015-0814/CVE-2015-0815 boo#925392)

- 使用 Fluendo MP3 GStreamer 插件时的释放后使用 (MFSA 2015-31/CVE-2015-0813 bmo#1106596 boo#925393)

- 通过 MITM 攻击绕过附加组件轻量级主题安装批准 (MFSA 2015-32/CVE-2015-0812 bmo#1128126 boo#925394)

- resource:// 文档可加载特权页面 (MFSA 2015-33/CVE-2015-0816 bmo#1144991 boo#925395)

- QCMS 库中的越界读取 (MFSA-2015-34/CVE-2015-0811 bmo#1132468 boo#925396)

- WebRTC 中简单类型数组的内存管理不正确 (MFSA-2015-36/CVE-2015-0808 bmo#1109552 boo#925397)

- CORS 请求在预检后不应遵循 30x 重定向 (MFSA-2015-37/CVE-2015-0807 bmo#1111834 boo#925398)

- 非主线程复合中的内存损坏崩溃 (MFSA-2015-38/CVE-2015-0805/CVE-2015-0806 bmo#1135511 bmo#1099437 boo#925399)

- 由于类型混淆缺陷导致的释放后使用 (MFSA-2015-39/CVE-2015-0803/CVE-2015-0804 (mo#1134560 boo#925400)

- 通过定位标记导航的同源绕过 (MFSA-2015-40/CVE-2015-0801 bmo#1146339 boo#925401)

- Windows 在导航到非特权页面时可以保留对特权内容的访问权限 (MFSA-2015-42/CVE-2015-0802 bmo#1124898 boo#925402)

在未作为 openSUSE 更新发布的功能中修复了下列漏洞：

- 通过 HTTP/2 Alt-Svc 标头可绕过证书验证 (MFSA 2015-44/CVE-2015-0799 bmo#1148328 bnc#926166)

在 37.0 中添加而在 37.0.1 中删除的功能包括：

- 在服务器支持 HTTP/2 AltSvc 时适时加密 HTTP 流量

Mozilla Firefox 中添加或更新了以下功能：

- 心跳信息用户评级系统

- 将 Yandex 设置为土耳其语区域设置的默认搜索提供程序

- Bing 搜索现在使用 HTTPS 进行安全搜索

- 通过 OneCRL 集中证书吊销改进针对站点假冒的防范措施

- TLS 的更多行为变更

Mozilla Thunderbird 中修复了下列漏洞：

- 多项内存安全危害 (MFSA 2015-30/CVE-2015-0814/CVE-2015-0815 boo#925392)

- 使用 Fluendo MP3 GStreamer 插件时的释放后使用 (MFSA 2015-31/CVE-2015-0813 bmo#1106596 boo#925393)

- resource:// 文档可加载特权页面 (MFSA 2015-33/CVE-2015-0816 bmo#1144991 boo#925395)

- CORS 请求在预检后不应遵循 30x 重定向 (MFSA-2015-37/CVE-2015-0807 bmo#1111834 boo#925398)

- 通过定位标记导航的同源绕过 (MFSA-2015-40/CVE-2015-0801 bmo#1146339 boo#925401)

作为依存关系，mozilla-nspr 已更新到 4.10.8 并已接受以下变更：

- bmo#573192：删除基于堆栈的 PRFileDesc 缓存。

- bmo#756047：检查 _POSIX_THREAD_PRIORITY_SCHEDULING > 0 而非仅检查是否已定义该标识符。

- bmo#1089908：修复 _PR_MD_LOCKFILE 中的变量遮蔽。
 使用 PR_ARRAY_SIZE 以获取 _PR_RUNQ(t->cpu) 的数组大小。

- bmo#1106600：将 PR_ASSERT(!'foo') 替换为 PR_NOT_REACHED('foo') 以修复 clang -Wstring-conversion 警告。

检测

openSUSE 安全更新：MozillaFirefox / MozillaThunderbird / mozilla-nspr (openSUSE-2015-290)

high Nessus 插件 ID 82651

未找到变更日志