Firefox < 44 多种漏洞

critical Nessus 插件 ID 88461

简介

远程 Windows 主机包含受多种漏洞影响的 Web 浏览器。

描述

远程 Windows 主机上安装的 Firefox 版本低于 44。因此,它受到以下漏洞的影响:

- 存在一个 Cookie 注入漏洞,这是因为将非法控制字符储存为 Cookie 值,违反 RFC6265 所导致。远程攻击者可利用此漏洞注入 Cookie。(CVE-2015-7208)

- 存在多种不明内存损坏问题,远程攻击者可利用这些问题执行任意代码。
(CVE-2016-1930、CVE-2016-1931)

- 存在一个整数溢出情况,这是因为在去交隔行过程中不当解析 GIF 图像所导致。远程攻击者可利用此问题,通过特别构建的 GIF 图像,造成拒绝服务情况或执行任意代码。(CVE-2016-1933)

- WebGL 中存在一个缓冲区溢出情况,其会在处理缓存不足错误情况时触发。远程攻击者可利用此缺陷执行任意代码。(CVE-2016-1935)

- 存在一个内容伪造漏洞,这是因为协议处理程序对话框将双击事件作为两次单击事件处理所导致。远程攻击者可利用此欺骗内容,诱骗用户执行恶意操作。(CVE-2016-1937)

- Network Security Services (NSS) 中存在一个加密漏洞,这是因为“mp_div' and 'mp_exptmod”的错误计算所导致。(CVE-2016-1938)

- 存在一个 Cookie 注入漏洞,这是因为在 Cookie 名称中允许使用非法控制字符所导致。远程攻击者可利用此漏洞注入 Cookie。
(CVE-2016-1939)

- 存在一个 URL 欺骗漏洞,这是因为处理一个对内部协议无效的 URL 过程中触发一个缺陷,造成将 URL 粘贴到地址栏中所导致。远程攻击者可利用此欺骗 URL,诱骗用户访问恶意网站。(CVE-2016-1942)

- ANGLE 图库实现中存在一个不明的内存损坏问题。远程攻击者可利用此问题损坏内存,导致执行任意代码。(CVE-2016-1944)

- 存在一个失控指针缺陷,这是因为不当处理 ZIP 文件所导致。远程攻击者可利用此缺陷,通过特别构建的 ZIP 文件造成不明影响。
(CVE-2016-1945)

- 绑定的 libstagefright 版本中存在一个整数溢出情况,这是因为不当处理 MP4 文件元数据所导致。远程攻击者可利用此缺陷执行任意代码。(CVE-2016-1946)

- 安全浏览功能中存在一个缺陷,这是因为无法连接 Application Reputation 服务所导致。远程攻击者可以利用此缺陷,说服用户下载恶意可执行文件,而不会发出警告。(CVE-2016-1947)

- Network Security Services (NSS) 中存在一个释放后使用错误,这是因为 DHE 和 ECDHE 握手过程中不当处理失败的分配所导致。攻击者可利用此问题取消引用已经释放的内存,从而导致执行任意代码。
(CVE-2016-1978)

解决方案

升级到 Firefox 44 或更高版本。

另见

https://www.mozilla.org/en-US/security/advisories/mfsa2016-01/

https://www.mozilla.org/en-US/security/advisories/mfsa2016-02/

https://www.mozilla.org/en-US/security/advisories/mfsa2016-03/

https://www.mozilla.org/en-US/security/advisories/mfsa2016-04/

https://www.mozilla.org/en-US/security/advisories/mfsa2016-06/

https://www.mozilla.org/en-US/security/advisories/mfsa2016-07/

https://www.mozilla.org/en-US/security/advisories/mfsa2016-08/

https://www.mozilla.org/en-US/security/advisories/mfsa2016-09/

https://www.mozilla.org/en-US/security/advisories/mfsa2016-10/

https://www.mozilla.org/en-US/security/advisories/mfsa2016-11/

https://www.mozilla.org/en-US/security/advisories/mfsa2016-15/

插件详情

严重性: Critical

ID: 88461

文件名: mozilla_firefox_44.nasl

版本: 1.10

类型: local

代理: windows

系列: Windows

发布时间: 2016/1/28

最近更新时间: 2019/11/20

支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Nessus

风险信息

VPR

风险因素: Medium

分数: 6.5

CVSS v2

风险因素: Critical

基本分数: 10

时间分数: 7.4

矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C

CVSS 分数来源: CVE-2016-1946

CVSS v3

风险因素: Critical

基本分数: 9.8

时间分数: 8.5

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

时间矢量: CVSS:3.0/E:U/RL:O/RC:C

漏洞信息

CPE: cpe:/a:mozilla:firefox

必需的 KB 项: Mozilla/Firefox/Version

易利用性: No known exploits are available

补丁发布日期: 2016/1/26

漏洞发布日期: 2015/9/24

参考资料信息

CVE: CVE-2015-7208, CVE-2016-1930, CVE-2016-1931, CVE-2016-1933, CVE-2016-1935, CVE-2016-1937, CVE-2016-1938, CVE-2016-1939, CVE-2016-1942, CVE-2016-1944, CVE-2016-1945, CVE-2016-1946, CVE-2016-1947, CVE-2016-1978

BID: 79280

MFSA: 2016-01, 2016-02, 2016-03, 2016-04, 2016-06, 2016-07, 2016-08, 2016-09, 2016-10, 2016-11, 2016-15