openSUSE 安全更新：Firefox (openSUSE-2016-334)
critical Nessus 插件 ID 89915
语言：
简介
远程 openSUSE 主机缺少安全更新。描述
此 MozillaFirefox、mozilla-nspr、mozilla-nss 更新可修复以下问题：MozillaFirefox 已更新到 Firefox 45.0 (boo#969894)
- 需要 NSPR 4.12 / NSS 3.21.1
- 通过 Hello 共享的实时浏览器选项卡
- 按钮栏中的同步选项卡按钮
- 通过 Firefox 帐户从其他设备同步的选项卡现在在搜索时会显示在智能地址栏的下拉区域中
- 引入新首选项 (network.dns.blockDotOnion) 以允许在 DNS 级别阻断 .onion
- 已删除选项卡群组 (Panorama) 功能
- MFSA 2016-16/CVE-2016-1952/CVE-2016-1953 多项内存安全危害
- MFSA 2016-17/CVE-2016-1954 (bmo#1243178) 通过 CSP 报告发生的本地文件覆盖和潜在的权限升级
- MFSA 2016-18/CVE-2016-1955 (bmo#1208946) CSP 报告无法剥离嵌入 iframe 页面的位置信息
- MFSA 2016-19/CVE-2016-1956 (bmo#1199923) Linux 视频内存因 Intel 驱动程序而发生 DOS
- MFSA 2016-20/CVE-2016-1957 (bmo#1227052) 在处理 MP4 期间删除数组时，libstagefright 中发生内存泄漏
- MFSA 2016-21/CVE-2016-1958 (bmo#1228754) 可覆盖显示的页面地址
- MFSA 2016-22/CVE-2016-1959 (bmo#1234949) Service Worker Manager 中发生 Service Worker Manager 越界读取
- MFSA 2016-23/CVE-2016-1960/ZDI-CAN-3545 (bmo#1246014) HTML5 字符串解析器中的释放后使用
- MFSA 2016-24/CVE-2016-1961/ZDI-CAN-3574 (bmo#1249377) SetBody 中的释放后使用
- MFSA 2016-25/CVE-2016-1962 (bmo#1240760) 使用多个 WebRTC 数据通道时的释放后使用
- MFSA 2016-26/CVE-2016-1963 (bmo#1238440) 修改 FileReader 所读取的文件时发生内存损坏
- MFSA 2016-27/CVE-2016-1964 (bmo#1243335) XML 转换期间存在释放后使用
- MFSA 2016-28/CVE-2016-1965 (bmo#1245264) 通过历史记录导航和位置协议属性进行地址栏欺骗
- MFSA 2016-29/CVE-2016-1967 (bmo#1246956) 使用 perfomance.getEntries 和具有会话还原的历史记录导航时的同源策略冲突
- MFSA 2016-30/CVE-2016-1968 (bmo#1246742) 在 Brotli 解压缩期间存在缓冲区溢出
- MFSA 2016-31/CVE-2016-1966 (bmo#1246054) 因恶意 NPAPI 插件造成的内存损坏
- MFSA 2016-32/CVE-2016-1970/CVE-2016-1971/CVE-2016-1975/ CVE-2016-1976/CVE-2016-1972 通过代码检查发现的 WebRTC 和 LibVPX 漏洞
- MFSA 2016-33/CVE-2016-1973 (bmo#1219339) WebRTC 的 GetStaticInstance 中的释放后使用
- MFSA 2016-34/CVE-2016-1974 (bmo#1228103) 分配失败后的 HTML 解析器中存在越界读取
- MFSA 2016-35/CVE-2016-1950 (bmo#1245528) 在 NSS 的 ASN.1 解码期间发生缓冲区溢出（已通过要求 3.21.1 来修复）
- MFSA 2016-36/CVE-2016-1979 (bmo#1185033) 处理 NSS 中的 DER 编码密钥期间发生释放后使用（已通过要求 3.21.1 来修复）
- MFSA 2016-37/CVE-2016-1977/CVE-2016-2790/CVE-2016-2791/ CVE-2016-2792/CVE-2016-2793/CVE-2016-2794/CVE-2016-2795/ CVE-2016-2796/CVE-2016-2797/CVE-2016-2798/CVE-2016-2799/ CVE-2016-2800/CVE-2016-2801/CVE-2016-2802 Graphite 2 库中的字体漏洞
mozilla-nspr 已更新到版本 4.12
- 添加了 PR_GetEnvSecure 函数，其会尝试检测程序是否正以提升的权限执行，如果检测到便返回 NULL。建议在通用库代码中使用此函数。
- 修复了一个与 PR_*printf 函数相关的内存分配缺陷
- 导出了 API PR_DuplicateEnvironment，其已在 NSPR 4.10.9 中添加
- 添加了对 FreeBSD aarch64 的支持
- 多个次要正确性和兼容性补丁
mozilla-nss 已更新到 NSS 3.21.1 (bmo#969894)
- Firefox 45.0 所需
- MFSA 2016-35/CVE-2016-1950 (bmo#1245528) 在 NSS 的 ASN.1 解码期间发生缓冲区溢出（已通过要求 3.21.1 来修复）
- MFSA 2016-36/CVE-2016-1979 (bmo#1185033) 处理 NSS 中的 DER 编码密钥期间发生释放后使用（已通过要求 3.21.1 来修复）
解决方案
更新受影响的 Firefox 程序包。另见
https://bugzilla.mozilla.org/show_bug.cgi?id=1185033
https://bugzilla.mozilla.org/show_bug.cgi?id=1199923
https://bugzilla.mozilla.org/show_bug.cgi?id=1208946
https://bugzilla.mozilla.org/show_bug.cgi?id=1219339
https://bugzilla.mozilla.org/show_bug.cgi?id=1227052
https://bugzilla.mozilla.org/show_bug.cgi?id=1228103
https://bugzilla.mozilla.org/show_bug.cgi?id=1228754
https://bugzilla.mozilla.org/show_bug.cgi?id=1234949
https://bugzilla.mozilla.org/show_bug.cgi?id=1238440
https://bugzilla.mozilla.org/show_bug.cgi?id=1240760
https://bugzilla.mozilla.org/show_bug.cgi?id=1243178
https://bugzilla.mozilla.org/show_bug.cgi?id=1243335
https://bugzilla.mozilla.org/show_bug.cgi?id=1245264
https://bugzilla.mozilla.org/show_bug.cgi?id=1245528
https://bugzilla.mozilla.org/show_bug.cgi?id=1246014
https://bugzilla.mozilla.org/show_bug.cgi?id=1246054
https://bugzilla.mozilla.org/show_bug.cgi?id=1246742
https://bugzilla.mozilla.org/show_bug.cgi?id=1246956
https://bugzilla.mozilla.org/show_bug.cgi?id=1249377
插件详情
严重性: Critical
ID: 89915
文件名: openSUSE-2016-334.nasl
版本: 2.13
类型: local
代理: unix
发布时间: 2016/3/14
最近更新时间: 2021/1/19
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Nessus
风险信息
VPR
风险因素: Critical
分数: 9.0
CVSS v2
风险因素: Critical
基本分数: 10
时间分数: 8.7
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS v3
风险因素: Critical
基本分数: 9.8
时间分数: 9.4
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:H/RL:O/RC:C
漏洞信息
CPE: p-cpe:/a:novell:opensuse:mozillafirefox, p-cpe:/a:novell:opensuse:mozillafirefox-branding-upstream, p-cpe:/a:novell:opensuse:mozillafirefox-buildsymbols, p-cpe:/a:novell:opensuse:mozillafirefox-debuginfo, p-cpe:/a:novell:opensuse:mozillafirefox-debugsource, p-cpe:/a:novell:opensuse:mozillafirefox-devel, p-cpe:/a:novell:opensuse:mozillafirefox-translations-common, p-cpe:/a:novell:opensuse:mozillafirefox-translations-other, p-cpe:/a:novell:opensuse:libfreebl3, p-cpe:/a:novell:opensuse:libfreebl3-32bit, p-cpe:/a:novell:opensuse:libfreebl3-debuginfo, p-cpe:/a:novell:opensuse:libfreebl3-debuginfo-32bit, p-cpe:/a:novell:opensuse:libsoftokn3, p-cpe:/a:novell:opensuse:libsoftokn3-32bit, p-cpe:/a:novell:opensuse:libsoftokn3-debuginfo, p-cpe:/a:novell:opensuse:libsoftokn3-debuginfo-32bit, p-cpe:/a:novell:opensuse:mozilla-nspr, p-cpe:/a:novell:opensuse:mozilla-nspr-32bit, p-cpe:/a:novell:opensuse:mozilla-nspr-debuginfo, p-cpe:/a:novell:opensuse:mozilla-nspr-debuginfo-32bit, p-cpe:/a:novell:opensuse:mozilla-nspr-debugsource, p-cpe:/a:novell:opensuse:mozilla-nspr-devel, p-cpe:/a:novell:opensuse:mozilla-nss, p-cpe:/a:novell:opensuse:mozilla-nss-32bit, p-cpe:/a:novell:opensuse:mozilla-nss-certs, p-cpe:/a:novell:opensuse:mozilla-nss-certs-32bit, p-cpe:/a:novell:opensuse:mozilla-nss-certs-debuginfo, p-cpe:/a:novell:opensuse:mozilla-nss-certs-debuginfo-32bit, p-cpe:/a:novell:opensuse:mozilla-nss-debuginfo, p-cpe:/a:novell:opensuse:mozilla-nss-debuginfo-32bit, p-cpe:/a:novell:opensuse:mozilla-nss-debugsource, p-cpe:/a:novell:opensuse:mozilla-nss-devel, p-cpe:/a:novell:opensuse:mozilla-nss-sysinit, p-cpe:/a:novell:opensuse:mozilla-nss-sysinit-32bit, p-cpe:/a:novell:opensuse:mozilla-nss-sysinit-debuginfo, p-cpe:/a:novell:opensuse:mozilla-nss-sysinit-debuginfo-32bit, p-cpe:/a:novell:opensuse:mozilla-nss-tools, p-cpe:/a:novell:opensuse:mozilla-nss-tools-debuginfo, cpe:/o:novell:opensuse:13.1
必需的 KB 项: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
可利用: true
易利用性: Exploits are available
补丁发布日期: 2016/3/12
参考资料信息
CVE: CVE-2016-1950, CVE-2016-1952, CVE-2016-1953, CVE-2016-1954, CVE-2016-1955, CVE-2016-1956, CVE-2016-1957, CVE-2016-1958, CVE-2016-1959, CVE-2016-1960, CVE-2016-1961, CVE-2016-1962, CVE-2016-1963, CVE-2016-1964, CVE-2016-1965, CVE-2016-1966, CVE-2016-1967, CVE-2016-1968, CVE-2016-1970, CVE-2016-1971, CVE-2016-1972, CVE-2016-1973, CVE-2016-1974, CVE-2016-1975, CVE-2016-1976, CVE-2016-1977, CVE-2016-1979, CVE-2016-2790, CVE-2016-2791, CVE-2016-2792, CVE-2016-2793, CVE-2016-2794, CVE-2016-2795, CVE-2016-2796, CVE-2016-2797, CVE-2016-2798, CVE-2016-2799, CVE-2016-2800, CVE-2016-2801, CVE-2016-2802