seamonkey 中的更改：

- 更新到 SeaMonkey 2.20 (bnc#833389)

- MFSA 2013-63/CVE-2013-1701/CVE-2013-1702 多项内存安全危害

- MFSA 2013-64/CVE-2013-1704 (bmo#883313) 在 SetBody 期间更改 DOM 时存在释放后使用

- MFSA 2013-65/CVE-2013-1705 (bmo#882865) 生成 CRMF 请求时的缓冲区下溢

- MFSA 2013-67/CVE-2013-1708 (bmo#879924) 在 WAV 音频文件解码期间发生崩溃

- MFSA 2013-68/CVE-2013-1709 (bmo#838253) 文档 URI 错误表示和伪装

- MFSA 2013-69/CVE-2013-1710 (bmo#871368) CRMF 请求允许代码执行和 XSS 攻击。

- MFSA 2013-70/CVE-2013-1711 (bmo#843829) 使用 XBL 范围绕过 XrayWrappers

- MFSA 2013-72/CVE-2013-1713 (bmo#887098) 在验证某些 JavaScript 组件的 URI 时，使用错误的主体。

- MFSA 2013-73/CVE-2013-1714 (bmo#879787) 因 Web 工作线程和 XMLHttpRequest 导致同源绕过。

- MFSA 2013-75/CVE-2013-1717（bmo#406541、bmo#738397）本地 Java 小程序可能读取本地文件系统中的内容

- 需要 NSPR 4.10 和 NSS 3.15

- 删除了过时的 seamonkey-shared-nss-db.patch

seamonkey 中的更改：

- 更新到 SeaMonkey 2.20 (bnc#833389)

- MFSA 2013-63/CVE-2013-1701/CVE-2013-1702 多项内存安全危害

- MFSA 2013-64/CVE-2013-1704 (bmo#883313) 在 SetBody 期间更改 DOM 时存在释放后使用

- MFSA 2013-65/CVE-2013-1705 (bmo#882865) 生成 CRMF 请求时的缓冲区下溢

- MFSA 2013-67/CVE-2013-1708 (bmo#879924) 在 WAV 音频文件解码期间发生崩溃

- MFSA 2013-68/CVE-2013-1709 (bmo#838253) 文档 URI 错误表示和伪装

- MFSA 2013-69/CVE-2013-1710 (bmo#871368) CRMF 请求允许代码执行和 XSS 攻击。

- MFSA 2013-70/CVE-2013-1711 (bmo#843829) 使用 XBL 范围绕过 XrayWrappers

- MFSA 2013-72/CVE-2013-1713 (bmo#887098) 在验证某些 JavaScript 组件的 URI 时，使用错误的主体。

- MFSA 2013-73/CVE-2013-1714 (bmo#879787) 因 Web 工作线程和 XMLHttpRequest 导致同源绕过。

- MFSA 2013-75/CVE-2013-1717（bmo#406541、bmo#738397）本地 Java 小程序可能读取本地文件系统中的内容

- 需要 NSPR 4.10 和 NSS 3.15

- 删除了过时的 seamonkey-shared-nss-db.patch

XULRunner 中的更改：

- 更新到 17.0.8esr (bnc#833389)

- MFSA 2013-63/CVE-2013-1701 多项内存安全危害

- MFSA 2013-68/CVE-2013-1709 (bmo#838253) 文档 URI 错误表示和伪装

- MFSA 2013-69/CVE-2013-1710 (bmo#871368) CRMF 请求允许代码执行和 XSS 攻击。

- MFSA 2013-72/CVE-2013-1713 (bmo#887098) 在验证某些 JavaScript 组件的 URI 时，使用错误的主体。

- MFSA 2013-73/CVE-2013-1714 (bmo#879787) 因 Web 工作线程和 XMLHttpRequest 导致同源绕过。

- MFSA 2013-75/CVE-2013-1717（bmo#406541、bmo#738397）本地 Java 小程序可能读取本地文件系统中的内容

XULRunner 中的更改：

- 更新到 17.0.8esr (bnc#833389)

- MFSA 2013-63/CVE-2013-1701 多项内存安全危害

- MFSA 2013-68/CVE-2013-1709 (bmo#838253) 文档 URI 错误表示和伪装

- MFSA 2013-69/CVE-2013-1710 (bmo#871368) CRMF 请求允许代码执行和 XSS 攻击。

- MFSA 2013-72/CVE-2013-1713 (bmo#887098) 在验证某些 JavaScript 组件的 URI 时，使用错误的主体。

- MFSA 2013-73/CVE-2013-1714 (bmo#879787) 因 Web 工作线程和 XMLHttpRequest 导致同源绕过。

- MFSA 2013-75/CVE-2013-1717（bmo#406541、bmo#738397）本地 Java 小程序可能读取本地文件系统中的内容

MozillaThunderbird 中的更改：

- 更新到 Thunderbird 17.0.8 (bnc#833389)

- MFSA 2013-63/CVE-2013-1701 多项内存安全危害

- MFSA 2013-68/CVE-2013-1709 (bmo#838253) 文档 URI 错误表示和伪装

- MFSA 2013-69/CVE-2013-1710 (bmo#871368) CRMF 请求允许代码执行和 XSS 攻击。

- MFSA 2013-72/CVE-2013-1713 (bmo#887098) 在验证某些 JavaScript 组件的 URI 时，使用错误的主体。

- MFSA 2013-73/CVE-2013-1714 (bmo#879787) 因 Web 工作线程和 XMLHttpRequest 导致同源绕过。

- MFSA 2013-75/CVE-2013-1717（bmo#406541、bmo#738397）本地 Java 小程序可能读取本地文件系统中的内容

- 将 Enigmail 更新到 1.5.2

- 缺陷补丁版本

MozillaThunderbird 中的更改：

- 更新到 Thunderbird 17.0.8 (bnc#833389)

- MFSA 2013-63/CVE-2013-1701 多项内存安全危害

- MFSA 2013-68/CVE-2013-1709 (bmo#838253) 文档 URI 错误表示和伪装

- MFSA 2013-69/CVE-2013-1710 (bmo#871368) CRMF 请求允许代码执行和 XSS 攻击。

- MFSA 2013-72/CVE-2013-1713 (bmo#887098) 在验证某些 JavaScript 组件的 URI 时，使用错误的主体。

- MFSA 2013-73/CVE-2013-1714 (bmo#879787) 因 Web 工作线程和 XMLHttpRequest 导致同源绕过。

- MFSA 2013-75/CVE-2013-1717（bmo#406541、bmo#738397）本地 Java 小程序可能读取本地文件系统中的内容

- 将 Enigmail 更新到 1.5.2

- 缺陷补丁版本

mozilla-nss 中的更改：

- 修复 32 位要求，它实际上没有 ()

- 更新到 3.15.1

- 支持 TLS 1.2 (RFC 5246)。支持 HMAC-SHA256 加密套件（RFC 5246 和 RFC 5289），从而允许在无 MD5 和 SHA-1 的情况下使用 TLS。请注意以下限制：在 TLS 1.2 客户端认证签名中使用的哈希函数必须为 TLS 1.2 PRF 的哈希函数，在 NSS 3.15.1 中始终为 SHA-256。尚不支持 AES GCM 加密套件。

- 一些缺陷补丁和改进

- 需要 libnssckbi 而非 mozilla-nss-certs，这样 p11-kit 能与后者冲突 (fate#314991)

- 更新到 3.15

- 打包

- 删除了过时的修补程序

- nss-disable-expired-testcerts.patch

- bug-834091.patch

- 新功能

+ 对客户端套接字和服务器套接字添加了对 OCSP Stapling（RFC 6066，证书状态请求）的支持。TLS 客户端应用程序可通过调用 SSL_OptionSetDefault(SSL_ENABLE_OCSP_STAPLING, PR_TRUE) 启用此功能；

+ 添加了函数 SECITEM_ReallocItemV2。它替换函数 SECITEM_ReallocItem，现已声明该函数过时。

+ 通过 PK11_Encrypt 和 PK11_Decrypt 支持单个操作（如，不是多部分）对称密钥加密和解密。

+ 更新了 certutil，支持创建名称约束扩展。

- ssl.h SSL_PeerStapledOCSPResponse 中的新函数 - 与协商了 status_request 扩展的 TLS 客户端套接字配合使用时，返回服务器的装订 OCSP 响应。SSL_SetStapledOCSPResponses - 设置当客户端发送 status_request 扩展时让 TLS 服务器套接字返回的装订 OCSP 响应。
 在 ocsp.h CERT_PostOCSPRequest 中 - 主要用于测试目的，允许发送和接收原始 OCSP 请求/响应。在 secpkcs7.h SEC_PKCS7VerifyDetachedSignatureAtTime 中 - 在除当前时间以外的其他特定时间验证 PKCS#7 签名。在 xconst.h CERT_EncodeNameConstraintsExtension 中 - 针对 CERT_DecodeNameConstraintsExtension 的匹配函数，在 NSS 3.10 中添加。在 secitem.h SECITEM_AllocArray SECITEM_DupArray SECITEM_FreeArray SECITEM_ZfreeArray 中 - 处理 SECItemArrays SECITEM_ReallocItemV2 的分配和解除分配的实用工具函数 - 取代目前已过时的 SECITEM_ReallocItem。
 SECITEM_ReallocItemV2 能更好地符合调用程序的期望，因为它更新了关于分配的 item->len。有关 SECITEM_ReallocItem 问题的详细信息，请参阅缺陷 298649 和缺陷 298938。在 pk11pub.h PK11_Decrypt 中 - 将解密作为单个 PKCS#11 操作（如，不是多部分）执行。对于 AES-GCM 必需如此。PK11_Encrypt - 将解密作为单个 PKCS#11 操作（如，不是多部分）执行。对于 AES-GCM 必需如此。

- secitem.h SECItemArray 中的新类型 - 代表 SECItems 的长度可变数组。

- ssl.h SSL_ENABLE_OCSP_STAPLING 中的新宏 - 与 SSL_OptionSet 一起使用，配置 TLS 客户端套接字以请求 certificate_status 扩展（如 OCSP Stapling）（设置为 PR_TRUE 时）

- 需要注意的更改

+ SECITEM_ReallocItem 现已被弃用。请考虑在未来所有代码中使用 SECITEM_ReallocItemV2。

+ 已更新 nssckbi 模块中的根 CA 证书列表。

+ 已更新 SSL_AuthCertificate 的默认实现，添加了由 TLS 服务器装订到 OCSP 缓存的证书状态响应。

- 大量缺陷补丁

- 添加源 URL，请参阅 https://en.opensuse.org/SourceUrls

mozilla-nss 中的更改：

- 修复 32 位要求，它实际上没有 ()

- 更新到 3.15.1

- 支持 TLS 1.2 (RFC 5246)。支持 HMAC-SHA256 加密套件（RFC 5246 和 RFC 5289），从而允许在无 MD5 和 SHA-1 的情况下使用 TLS。请注意以下限制：在 TLS 1.2 客户端认证签名中使用的哈希函数必须为 TLS 1.2 PRF 的哈希函数，在 NSS 3.15.1 中始终为 SHA-256。尚不支持 AES GCM 加密套件。

- 一些缺陷补丁和改进

- 需要 libnssckbi 而非 mozilla-nss-certs，这样 p11-kit 能与后者冲突 (fate#314991)

- 更新到 3.15

- 打包

- 删除了过时的修补程序

- nss-disable-expired-testcerts.patch

- bug-834091.patch

- 新功能

+ 对客户端套接字和服务器套接字添加了对 OCSP Stapling（RFC 6066，证书状态请求）的支持。TLS 客户端应用程序可通过调用 SSL_OptionSetDefault(SSL_ENABLE_OCSP_STAPLING, PR_TRUE) 启用此功能；

+ 添加了函数 SECITEM_ReallocItemV2。它替换函数 SECITEM_ReallocItem，现已声明该函数过时。

+ 通过 PK11_Encrypt 和 PK11_Decrypt 支持单个操作（如，不是多部分）对称密钥加密和解密。

+ 更新了 certutil，支持创建名称约束扩展。

- ssl.h SSL_PeerStapledOCSPResponse 中的新函数 - 与协商了 status_request 扩展的 TLS 客户端套接字配合使用时，返回服务器的装订 OCSP 响应。SSL_SetStapledOCSPResponses - 设置当客户端发送 status_request 扩展时让 TLS 服务器套接字返回的装订 OCSP 响应。
 在 ocsp.h CERT_PostOCSPRequest 中 - 主要用于测试目的，允许发送和接收原始 OCSP 请求/响应。在 secpkcs7.h SEC_PKCS7VerifyDetachedSignatureAtTime 中 - 在除当前时间以外的其他特定时间验证 PKCS#7 签名。在 xconst.h CERT_EncodeNameConstraintsExtension 中 - 针对 CERT_DecodeNameConstraintsExtension 的匹配函数，在 NSS 3.10 中添加。在 secitem.h SECITEM_AllocArray SECITEM_DupArray SECITEM_FreeArray SECITEM_ZfreeArray 中 - 处理 SECItemArrays SECITEM_ReallocItemV2 的分配和解除分配的实用工具函数 - 取代目前已过时的 SECITEM_ReallocItem。
 SECITEM_ReallocItemV2 能更好地符合调用程序的期望，因为它更新了关于分配的 item->len。有关 SECITEM_ReallocItem 问题的详细信息，请参阅缺陷 298649 和缺陷 298938。在 pk11pub.h PK11_Decrypt 中 - 将解密作为单个 PKCS#11 操作（如，不是多部分）执行。对于 AES-GCM 必需如此。PK11_Encrypt - 将解密作为单个 PKCS#11 操作（如，不是多部分）执行。对于 AES-GCM 必需如此。

- secitem.h SECItemArray 中的新类型 - 代表 SECItems 的长度可变数组。

- ssl.h SSL_ENABLE_OCSP_STAPLING 中的新宏 - 与 SSL_OptionSet 一起使用，配置 TLS 客户端套接字以请求 certificate_status 扩展（如 OCSP Stapling）（设置为 PR_TRUE 时）

- 需要注意的更改

+ SECITEM_ReallocItem 现已被弃用。请考虑在未来所有代码中使用 SECITEM_ReallocItemV2。

+ 已更新 nssckbi 模块中的根 CA 证书列表。

+ 已更新 SSL_AuthCertificate 的默认实现，添加了由 TLS 服务器装订到 OCSP 缓存的证书状态响应。

- 大量缺陷补丁

- 添加源 URL，请参阅 https://en.opensuse.org/SourceUrls

mozilla-nspr 中的更改：

- 更新到版本 4.10

- bmo#844513：向 PLArena 中添加 AddressSanitizer (ASan) 内存检查注释。

- bmo#849089：进行了简单更改，使 NSPR 的 configure.in 能用于当前版本的 autoconf。

- bmo#856196：修复 NSPR 4.10 中的编译器警告和清除代码。

- bmo#859066：修复了 nsprpub/pr/src/misc/prnetdb.c 中的警告。

- bmo#859830：弃用 ANDROID_VERSION，倾向于使用 android/api-level.h。

- bmo#861434：使 PR_SetThreadPriority() 更改相对于主进程的优先级，而不是使用 Linux 上的绝对值。

- bmo#871064L：_PR_InitThreads() 不应调用 PR_SetThreadPriority。

mozilla-nspr 中的更改：

- 更新到版本 4.10

- bmo#844513：向 PLArena 中添加 AddressSanitizer (ASan) 内存检查注释。

- bmo#849089：进行了简单更改，使 NSPR 的 configure.in 能用于当前版本的 autoconf。

- bmo#856196：修复 NSPR 4.10 中的编译器警告和清除代码。

- bmo#859066：修复了 nsprpub/pr/src/misc/prnetdb.c 中的警告。

- bmo#859830：弃用 ANDROID_VERSION，倾向于使用 android/api-level.h。

- bmo#861434：使 PR_SetThreadPriority() 更改相对于主进程的优先级，而不是使用 Linux 上的绝对值。

- bmo#871064L：_PR_InitThreads() 不应调用 PR_SetThreadPriority。

MozillaFirefox 中的更改：

- 更新到 Firefox 23.0 (bnc#833389)

- MFSA 2013-63/CVE-2013-1701/CVE-2013-1702 多项内存安全危害

- MFSA 2013-64/CVE-2013-1704 (bmo#883313) 在 SetBody 期间更改 DOM 时存在释放后使用

- MFSA 2013-65/CVE-2013-1705 (bmo#882865) 生成 CRMF 请求时的缓冲区下溢

- MFSA 2013-67/CVE-2013-1708 (bmo#879924) 在 WAV 音频文件解码期间发生崩溃

- MFSA 2013-68/CVE-2013-1709 (bmo#838253) 文档 URI 错误表示和伪装

- MFSA 2013-69/CVE-2013-1710 (bmo#871368) CRMF 请求允许代码执行和 XSS 攻击。

- MFSA 2013-70/CVE-2013-1711 (bmo#843829) 使用 XBL 范围绕过 XrayWrappers

- MFSA 2013-72/CVE-2013-1713 (bmo#887098) 在验证某些 JavaScript 组件的 URI 时，使用错误的主体。

- MFSA 2013-73/CVE-2013-1714 (bmo#879787) 因 Web 工作线程和 XMLHttpRequest 导致同源绕过。

- MFSA 2013-75/CVE-2013-1717（bmo#406541、bmo#738397）本地 Java 小程序可能读取本地文件系统中的内容

- 需要 NSPR 4.10 和 NSS 3.15

- 修复 ARM 中的版本（/-g/ 匹配 /-grecord-switches/）

MozillaFirefox 中的更改：

- 更新到 Firefox 23.0 (bnc#833389)

- MFSA 2013-63/CVE-2013-1701/CVE-2013-1702 多项内存安全危害

- MFSA 2013-64/CVE-2013-1704 (bmo#883313) 在 SetBody 期间更改 DOM 时存在释放后使用

- MFSA 2013-65/CVE-2013-1705 (bmo#882865) 生成 CRMF 请求时的缓冲区下溢

- MFSA 2013-67/CVE-2013-1708 (bmo#879924) 在 WAV 音频文件解码期间发生崩溃

- MFSA 2013-68/CVE-2013-1709 (bmo#838253) 文档 URI 错误表示和伪装

- MFSA 2013-69/CVE-2013-1710 (bmo#871368) CRMF 请求允许代码执行和 XSS 攻击。

- MFSA 2013-70/CVE-2013-1711 (bmo#843829) 使用 XBL 范围绕过 XrayWrappers

- MFSA 2013-72/CVE-2013-1713 (bmo#887098) 在验证某些 JavaScript 组件的 URI 时，使用错误的主体。

- MFSA 2013-73/CVE-2013-1714 (bmo#879787) 因 Web 工作线程和 XMLHttpRequest 导致同源绕过。

- MFSA 2013-75/CVE-2013-1717（bmo#406541、bmo#738397）本地 Java 小程序可能读取本地文件系统中的内容

- 需要 NSPR 4.10 和 NSS 3.15

- 修复 ARM 中的版本（/-g/ 匹配 /-grecord-switches/）

Jeff Gilbert、Henrik Skupin、Ben Turner、Christian Holler、Andrew McCreight、Gary Kwong、Jan Varga 和 Jesse Ruderman 在 Firefox 中发现多个内存安全问题。如果用户受到诱骗打开特别构建的页面，攻击者可能利用这些缺陷，通过应用程序崩溃造成拒绝服务，或可能以调用 Firefox 的用户权限执行任意代码。（CVE-2013-1701、CVE-2013-1702）

在 SetBody 突变事件期间修改 DOM 时发现释放后使用缺陷。如果用户受到诱骗打开特别构建的页面，攻击者可能利用此漏洞，以调用 Firefox 的用户的权限执行任意代码。(CVE-2013-1704)

在使用特定参数生成 CRMF 请求时发现释放后使用缺陷。如果用户受到诱骗打开特别构建的页面，攻击者可能利用此漏洞，以调用 Firefox 的用户的权限执行任意代码。(CVE-2013-1705)

Aki Helin 发现在某些情况下解码 WAV 文件时出现崩溃。攻击者可能利用该漏洞造成拒绝服务。(CVE-2013-1708)

已发现文档的 URI 可设置为其他文档的 URI。攻击者可能利用此问题进行跨站脚本 (XSS) 攻击。(CVE-2013-1709)

当在特定情况下生成 CRMF 请求时发现一个缺陷。攻击者可能利用此缺陷执行跨站脚本 (XSS) 攻击，或以调用 Firefox 的用户的权限执行任意代码。(CVE-2013-1710)

Bobby Holley 发现在特定情况下，可使用 XBL 范围避开 XrayWrapper。攻击者可能利用此问题进行跨站脚本 (XSS) 攻击或造成不明行为。(CVE-2013-1711)

Cody Crews 发现一些 JavaScript 组件对错误的 URI 执行了安全检查，从而可能绕过同源策略限制。攻击者可利用此问题进行跨站脚本 (XSS) 攻击或从恶意网站安装附加组件。(CVE-2013-1713)

Federico Lanusse 发现，当使用 XMLHttpRequest 时，Web 工作线程可绕过同源检查。攻击者可能利用此问题进行跨站脚本 (XSS) 攻击。
(CVE-2013-1714)

Georgi Guninski 和 John Schoenick 发现，Java 小程序可在特定情况下访问本地文件。攻击者可能利用此漏洞窃取机密数据。(CVE-2013-1717)。

安装的 Firefox 版本低于 23.0，因此可能受到以下漏洞的影响：

- 存在可能允许内存损坏情况的各种错误。（CVE-2013-1701、CVE-2013-1702）

- 使用“SetBody”并生成“证书请求消息”时，存在关于 DOM 修改的释放后使用错误。（CVE-2013-1704、CVE-2013-1705）

- 存在关于 update 服务和“maintenanceservice.exe”的错误，可能导致缓冲区在处理意外的长路径值时溢出。
 （CVE-2013-1706、CVE-2013-1707）

- 函数“nsCString::CharAt”存在错误，可导致应用程序在解码特别构建的 WAV 音频文件时崩溃。(CVE-2013-1708)

- 存在关于 HTML 框架和历史记录处理、“XrayWrappers”、JavaScript URI 处理和使用“XMLHttpRequest”的 Web 工作线程的不明错误，可允许跨站脚本攻击。
 （CVE-2013-1709、CVE-2013-1711、CVE-2013-1713、CVE-2013-1714）

- 存在关于生成“证书请求消息格式” (CRMF) 请求的不明错误，可允许跨站脚本攻击。
 (CVE-2013-1710)

- 存在关于 update 服务、完整安装程序和存根安装程序的 DLL 路径加载错误，可允许执行任意代码。
 （CVE-2013-1712、CVE-2013-1715）

- 存在与 Java 小程序和“file:///”URI 有关的错误，可允许对任意文件进行只读访问。(CVE-2013-1717)

安装的 Thunderbird 版本低于 17.0.8，因此可能受到以下漏洞的影响：

- 存在可能允许内存损坏情况的各种错误。（CVE-2013-1701、CVE-2013-1702）

- 使用“SetBody”并生成“证书请求消息”时，存在关于 DOM 修改的释放后使用错误。（CVE-2013-1704、CVE-2013-1705）

- 存在关于 update 服务和“maintenanceservice.exe”的错误，可能导致缓冲区在处理意外的长路径值时溢出。
 （CVE-2013-1706、CVE-2013-1707）

- 函数“nsCString::CharAt”存在错误，可导致应用程序在解码特别构建的 WAV 音频文件时崩溃。(CVE-2013-1708)

- 存在关于 HTML 框架和历史记录处理、“XrayWrappers”、JavaScript URI 处理和使用“XMLHttpRequest”的 Web 工作线程的不明错误，可允许跨站脚本攻击。
 （CVE-2013-1709、CVE-2013-1711、CVE-2013-1713、CVE-2013-1714）

- 存在关于生成“证书请求消息格式” (CRMF) 请求的不明错误，可允许跨站脚本攻击。
 (CVE-2013-1710)

- 存在关于 update 服务、完整安装程序和存根安装程序的 DLL 路径加载错误，可允许执行任意代码。
 （CVE-2013-1712、CVE-2013-1715）

- 存在与 Java 小程序和“file:///”URI 有关的错误，可允许对任意文件进行只读访问。(CVE-2013-1717)

更新到 Firefox 17.0.8esr (bnc#833389)，解决了：

-（bmo#855331、bmo#844088、bmo#858060、bmo#870200、bmo#874974、bmo#861530、bmo#854157、bmo#893684、bmo#878703、bmo#862185、bmo#879139、bmo#888107、bmo#880734）。(MFSA 2013-63 / CVE-2013-1701 / CVE-2013-1702)

已修复各种内存安全危害 (rv:23.0 / rv:17.0.8)：

-（bmo#888314、bmo#888361）Mozilla 维护服务和 Mozilla 更新程序中的缓冲区溢出。(MFSA 2013-66 / CVE-2013-1706 / CVE-2013-1707)

- (bmo#848253) 文档 URI 错误表示和伪装。(MFSA 2013-68 / CVE-2013-1709)

(bmo#871368) CRMF 请求允许代码执行和 XSS 攻击。(MFSA 2013-69 / CVE-2013-1710)

- (bmo#859072) 通过 Mozilla 更新程序进行进一步权限升级。(MFSA 2013-71 / CVE-2013-1712)

- (bmo#887098) 在验证某些 JavaScript 组件的 URI 时，使用错误的主体。(MFSA 2013-72 / CVE-2013-1713)

- (bmo#879787) 因 Web 工作线程和 XMLHttpRequest 导致同源绕过。(MFSA 2013-73 / CVE-2013-1714)

- (bmo#406541) 本地 Java 小程序可能读取本地文件系统中的内容。(MFSA 2013-75 / CVE-2013-1717)

安装的 SeaMonkey 版本低于 2.20。因此，它可能会受到以下漏洞的影响：

- 存在可能允许内存损坏情况的各种错误。（CVE-2013-1701、CVE-2013-1702）

- 使用“SetBody”并生成“证书请求消息”时，存在关于 DOM 修改的释放后使用错误。（CVE-2013-1704、CVE-2013-1705）

- 函数“nsCString::CharAt”存在错误，可导致应用程序在解码特别构建的 WAV 音频文件时崩溃。(CVE-2013-1708)

- 存在关于 HTML 框架和历史记录处理、“XrayWrappers”、JavaScript URI 处理和使用“XMLHttpRequest”的 Web 工作线程的不明错误，可允许跨站脚本攻击。
 （CVE-2013-1709、CVE-2013-1711、CVE-2013-1713、CVE-2013-1714）

- 存在关于生成“证书请求消息格式” (CRMF) 请求的不明错误，可允许跨站脚本攻击。
 (CVE-2013-1710)

- 存在与 Java 小程序和“file:///”URI 有关的错误，可允许对任意文件进行只读访问。(CVE-2013-1717)

- 存在关于含有 HTML 和 iframe 的电子邮件消息以及此类消息的回复或转发操作的输入验证错误，可允许跨站脚本攻击。(CVE-2013-6674)

- 存在关于含有 HTML 和对象或嵌入元素的电子邮件消息的输入验证错误，可允许跨站脚本攻击。
 (CVE-2014-2018)

Mozilla 项目报告：

MFSA 2013-63 各种内存安全危害 (rv:23.0 / rv:17.0.8)

MFSA 2013-64 SetBody 期间改变 DOM 时的释放后使用

MFSA 2013-65 生成 CRMF 请求时的缓冲区下溢

MFSA 2013-66 Mozilla Maintenance Service 和 Mozilla Updater 中的缓冲区溢出

MFSA 2013-67 WAV 音频文件解码期间崩溃

MFSA 2013-68 文档 URI 歪曲和伪装

MFSA 2013-69 CRMF 请求允许代码执行和 XSS 攻击

MFSA 2013-70 使用 XBL Scopes 绕过 XrayWrappers

MFSA 2013-71 通过 Mozilla Updater 造成进一步权限升级

MFSA 2013-72 错误的主体被用于验证某些 JavaScript 组件的 URI

MFSA 2013-73 Web 工作线程和 XMLHttpRequest 的同源绕过

MFSA 2013-74 Firefox 完整和存根安装程序 DLL 劫持

MFSA 2013-75 本地 Java 小程序可能读取本地文件系统的内容

USN-1924-1 修复了 Firefox 中的漏洞。此更新提供针对 Ubufox 和 Unity Firefox Extension 的相应更新。

Jeff Gilbert、Henrik Skupin、Ben Turner、Christian Holler、Andrew McCreight、Gary Kwong、Jan Varga 和 Jesse Ruderman 在 Firefox 中发现多个内存安全问题。如果用户受到诱骗打开特别构建的页面，攻击者可能利用这些缺陷，通过应用程序崩溃造成拒绝服务，或可能以调用 Firefox 的用户权限执行任意代码。（CVE-2013-1701、CVE-2013-1702）

在 SetBody 突变事件期间修改 DOM 时发现释放后使用缺陷。如果用户受到诱骗打开特别构建的页面，攻击者可能利用此漏洞，以调用 Firefox 的用户的权限执行任意代码。(CVE-2013-1704)

在使用特定参数生成 CRMF 请求时发现释放后使用缺陷。如果用户受到诱骗打开特别构建的页面，攻击者可能利用此漏洞，以调用 Firefox 的用户的权限执行任意代码。(CVE-2013-1705)

Aki Helin 发现在某些情况下解码 WAV 文件时出现崩溃。攻击者可能利用该漏洞造成拒绝服务。(CVE-2013-1708)

已发现文档的 URI 可设置为其他文档的 URI。攻击者可能利用此问题进行跨站脚本 (XSS) 攻击。
(CVE-2013-1709)

当在特定情况下生成 CRMF 请求时发现一个缺陷。攻击者可能利用此缺陷执行跨站脚本 (XSS) 攻击，或以调用 Firefox 的用户的权限执行任意代码。(CVE-2013-1710)

Bobby Holley 发现在特定情况下，可使用 XBL 范围避开 XrayWrapper。攻击者可能利用此问题进行跨站脚本 (XSS) 攻击或造成不明行为。(CVE-2013-1711)

Cody Crews 发现一些 JavaScript 组件对错误的 URI 执行了安全检查，从而可能绕过同源策略限制。攻击者可利用此问题进行跨站脚本 (XSS) 攻击或从恶意网站安装附加组件。(CVE-2013-1713)

Federico Lanusse 发现，当使用 XMLHttpRequest 时，Web 工作线程可绕过同源检查。攻击者可能利用此问题进行跨站脚本 (XSS) 攻击。(CVE-2013-1714)

Georgi Guninski 和 John Schoenick 发现，Java 小程序可在特定情况下访问本地文件。攻击者可能利用此漏洞窃取机密数据。(CVE-2013-1717)。

安装的 Firefox 版本低于 23.0，因此可能受到多种漏洞的影响：

- 存在可能允许内存损坏情况的各种错误。（CVE-2013-1701、CVE-2013-1702）

- 使用“SetBody”并生成“证书请求消息”时，存在关于 DOM 修改的释放后使用错误。（CVE-2013-1704、CVE-2013-1705）

- 函数“nsCString::CharAt”存在错误，可导致应用程序在解码特别构建的 WAV 音频文件时崩溃。(CVE-2013-1708)

- 存在关于 HTML 框架和历史记录处理、“XrayWrappers”、JavaScript URI 处理和使用“XMLHttpRequest”的 Web 工作线程的不明错误，可允许跨站脚本攻击。
 （CVE-2013-1709、CVE-2013-1711、CVE-2013-1713、CVE-2013-1714）

- 存在关于生成“证书请求消息格式” (CRMF) 请求的不明错误，可允许跨站脚本攻击。
 (CVE-2013-1710)

- 存在与 Java 小程序和“file:///”URI 有关的错误，可允许对任意文件进行只读访问。(CVE-2013-1717)

安装的 Thunderbird 版本低于 17.0.8，因此可能受以下漏洞影响：

- 存在可能允许内存损坏情况的各种错误。（CVE-2013-1701、CVE-2013-1702）

- 使用“SetBody”并生成“证书请求消息”时，存在关于 DOM 修改的释放后使用错误。（CVE-2013-1704、CVE-2013-1705）

- 函数“nsCString::CharAt”存在错误，可导致应用程序在解码特别构建的 WAV 音频文件时崩溃。(CVE-2013-1708)

- 存在关于 HTML 框架和历史记录处理、“XrayWrappers”、JavaScript URI 处理和使用“XMLHttpRequest”的 Web 工作线程的不明错误，可允许跨站脚本攻击。
 （CVE-2013-1709、CVE-2013-1711、CVE-2013-1713、CVE-2013-1714）

- 存在关于生成“证书请求消息格式” (CRMF) 请求的不明错误，可允许跨站脚本攻击。
 (CVE-2013-1710)

- 存在与 Java 小程序和“file:///”URI 有关的错误，可允许对任意文件进行只读访问。(CVE-2013-1717)

远程主机受到 GLSA-201309-23 中所述漏洞的影响（Mozilla 产品：多种漏洞）

在 Mozilla Firefox、Thunderbird 和 SeaMonkey 中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

远程攻击者可引诱用户查看特别构建的网页或电子邮件，这可能导致执行任意代码或拒绝服务的情况。此外，远程攻击者可进行 XSS 攻击、欺骗 URL、绕过地址空间布局随机化、进行点击劫持攻击、获取潜在敏感信息、绕过访问限制、修改本地文件系统或进行其他不明攻击。
 变通方案：

目前无任何已知的变通方案。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
75122	openSUSE 安全更新：MozillaFirefox / MozillaThunderbird / mozilla-nspr / 等 (openSUSE-SU-2013:1348-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	critical
69234	Ubuntu 12.04 LTS / 12.10 / 13.04：firefox 漏洞 (USN-1924-1)	Nessus	Ubuntu Local Security Checks	2013/8/7	2019/9/19	critical
69269	Firefox < 23.0 多种漏洞	Nessus	Windows	2013/8/8	2019/11/27	critical
69270	Mozilla Thunderbird < 17.0.8 多种漏洞	Nessus	Windows	2013/8/8	2019/11/27	critical
69344	SuSE 11.2 / 11.3 安全更新：Mozilla Firefox（SAT 修补程序编号 8187 / 8191）	Nessus	SuSE Local Security Checks	2013/8/14	2021/1/19	critical
69272	SeaMonkey < 2.20 多种漏洞	Nessus	Windows	2013/8/8	2019/11/27	critical
69278	FreeBSD：mozilla -- 多种漏洞 (0998e79d-0055-11e3-905b-0025905a4771)	Nessus	FreeBSD Local Security Checks	2013/8/9	2021/1/6	critical
69343	SuSE 11.2 / 11.3 安全更新：Mozilla Firefox（SAT 修补程序编号 8187 / 8191）	Nessus	SuSE Local Security Checks	2013/8/14	2021/1/19	critical
69235	Ubuntu 12.04 LTS / 12.10 / 13.04：ubufox、unity-firefox-extension 更新 (USN-1924-2)	Nessus	Ubuntu Local Security Checks	2013/8/7	2019/9/19	critical
69265	Firefox < 23.0 多种漏洞 (Mac OS X)	Nessus	MacOS X Local Security Checks	2013/8/8	2019/11/27	critical
69266	Thunderbird < 17.0.8 多种漏洞 (Mac OS X)	Nessus	MacOS X Local Security Checks	2013/8/8	2019/11/27	critical
70183	GLSA-201309-23：Mozilla 产品：多种漏洞	Nessus	Gentoo Local Security Checks	2013/9/28	2022/3/29	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical