SUSE SLED12 / SLES12 安全更新：MozillaFirefox、mozilla-nss (SUSE-SU-2015:1476-1)
critical Nessus 插件 ID 85763
语言：
简介
远程 SUSE 主机缺少一个或多个安全更新。描述
Mozilla Firefox 已更新到版本 38.2.1 ESR，以修复多个危急和非危急安全漏洞。- Firefox 已更新到 38.2.1 ESR (bsc#943608)
- MFSA 2015-94/CVE-2015-4497 (bsc#943557) 在重新设计期间调整 canvas 元素大小时，存在释放后使用
- MFSA 2015-95/CVE-2015-4498 (bsc#943558) 通过数据 URL 绕过附加组件通知
- Firefox 已更新到 38.2.0 ESR (bsc#940806)
- MFSA 2015-78/CVE-2015-4495 (bmo#1178058, bmo#1179262) 通过 PDF 阅读器实现的同源违反和本地文件窃取
- MFSA 2015-79/CVE-2015-4473/CVE-2015-4474（bmo#1143130、bmo#1161719、bmo#1177501、bmo#1181204、bmo#1184068、bmo#1188590、bmo#1146213、bmo#1178890、bmo#1182711）各种内存安全危害 (rv:40.0 / rv:38.2)
- MFSA 2015-80/CVE-2015-4475 (bmo#1175396) 使用畸形 MP3 文件时发生越界读取
- MFSA 2015-82/CVE-2015-4478 (bmo#1105914) 重新定义不可配置的 JavaScript 对象属性
- MFSA 2015-83/CVE-2015-4479（bmo#1185115、bmo#1144107、bmo#1170344、bmo#1186718）libstagefright 中的溢出问题
- MFSA 2015-87/CVE-2015-4484 (bmo#1171540) 在 JavaScript 中使用共享内存时发生崩溃
- MFSA 2015-88/CVE-2015-4491 (bmo#1184009) 缩放位图图像时 gdk-pixbuf 中的堆溢出
- MFSA 2015-89/CVE-2015-4485/CVE-2015-4486（bmo#1177948、bmo#1178148）解码 WebM 视频时 Libvpx 中的缓冲区溢出
- MFSA 2015-90/CVE-2015-4487/CVE-2015-4488/CVE-2015-4489（bmo#1176270、bmo#1182723、bmo#1171603）通过代码检查发现的漏洞
- MFSA 2015-92/CVE-2015-4492 (bmo#1185820) 包含共享线程的 XMLHttpRequest 中的释放后使用
Mozilla NSS 将 CKBI ABI 从 1.98 切换到 2.4，后者为 Firefox 38ESR 所使用。
请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。
解决方案
请使用 YaST online_update 安装此 SUSE 安全更新。或者，可以运行为产品列出的命令：
SUSE Linux Enterprise Software Development Kit 12：
zypper in -t patch SUSE-SLE-SDK-12-2015-472=1
SUSE Linux Enterprise Server 12：
zypper in -t patch SUSE-SLE-SERVER-12-2015-472=1
SUSE Linux Enterprise Desktop 12：
zypper in -t patch SUSE-SLE-DESKTOP-12-2015-472=1
要使系统保持最新状态，请使用“zypper 修补程序”。
另见
https://bugzilla.suse.com/show_bug.cgi?id=940806
https://bugzilla.suse.com/show_bug.cgi?id=943557
https://bugzilla.suse.com/show_bug.cgi?id=943558
https://bugzilla.suse.com/show_bug.cgi?id=943608
https://www.suse.com/security/cve/CVE-2015-4473/
https://www.suse.com/security/cve/CVE-2015-4474/
https://www.suse.com/security/cve/CVE-2015-4475/
https://www.suse.com/security/cve/CVE-2015-4478/
https://www.suse.com/security/cve/CVE-2015-4479/
https://www.suse.com/security/cve/CVE-2015-4484/
https://www.suse.com/security/cve/CVE-2015-4485/
https://www.suse.com/security/cve/CVE-2015-4486/
https://www.suse.com/security/cve/CVE-2015-4487/
https://www.suse.com/security/cve/CVE-2015-4488/
https://www.suse.com/security/cve/CVE-2015-4489/
https://www.suse.com/security/cve/CVE-2015-4491/
https://www.suse.com/security/cve/CVE-2015-4492/
https://www.suse.com/security/cve/CVE-2015-4495/
https://www.suse.com/security/cve/CVE-2015-4497/
插件详情
严重性: Critical
ID: 85763
文件名: suse_SU-2015-1476-1.nasl
版本: 2.13
类型: local
代理: unix
发布时间: 2015/9/3
最近更新时间: 2022/5/25
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
风险信息
VPR
风险因素: High
分数: 8.2
CVSS v2
风险因素: Critical
基本分数: 10
时间分数: 8.7
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
漏洞信息
CPE: p-cpe:/a:novell:suse_linux:mozillafirefox, p-cpe:/a:novell:suse_linux:mozillafirefox-branding-sle, p-cpe:/a:novell:suse_linux:mozillafirefox-debuginfo, p-cpe:/a:novell:suse_linux:mozillafirefox-debugsource, p-cpe:/a:novell:suse_linux:mozillafirefox-translations, p-cpe:/a:novell:suse_linux:libfreebl3, p-cpe:/a:novell:suse_linux:libfreebl3-debuginfo, p-cpe:/a:novell:suse_linux:libfreebl3-hmac, p-cpe:/a:novell:suse_linux:libsoftokn3, p-cpe:/a:novell:suse_linux:libsoftokn3-debuginfo, p-cpe:/a:novell:suse_linux:libsoftokn3-hmac, p-cpe:/a:novell:suse_linux:mozilla-nss, p-cpe:/a:novell:suse_linux:mozilla-nss-certs, p-cpe:/a:novell:suse_linux:mozilla-nss-certs-debuginfo, p-cpe:/a:novell:suse_linux:mozilla-nss-debuginfo, p-cpe:/a:novell:suse_linux:mozilla-nss-debugsource, p-cpe:/a:novell:suse_linux:mozilla-nss-tools, p-cpe:/a:novell:suse_linux:mozilla-nss-tools-debuginfo, cpe:/o:novell:suse_linux:12
必需的 KB 项: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
可利用: true
易利用性: Exploits are available
补丁发布日期: 2015/9/2
漏洞发布日期: 2015/8/7
CISA 已知可遭利用的漏洞到期日期: 2022/6/15
可利用的方式
CANVAS (CANVAS)
参考资料信息
CVE: CVE-2015-4473, CVE-2015-4474, CVE-2015-4475, CVE-2015-4478, CVE-2015-4479, CVE-2015-4484, CVE-2015-4485, CVE-2015-4486, CVE-2015-4487, CVE-2015-4488, CVE-2015-4489, CVE-2015-4491, CVE-2015-4492, CVE-2015-4495, CVE-2015-4497, CVE-2015-4498