远程主机受到 GLSA-201512-10 中所述漏洞的影响（Mozilla 产品：多种漏洞）

在 Mozilla Firefox 和 Mozilla Thunderbird 中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

远程攻击者可引诱用户查看特别构建的网页或电子邮件，这可能导致执行任意代码或拒绝服务的情况。
 变通方案：

目前无任何已知的变通方案。

Muneaki Nishimura 在 Mozilla 的 HTTP Alternative Services 实现中发现一个缺陷，这意味着在某些情况下可绕过 SSL 证书验证。远程攻击者可能利用此缺陷发动中间人攻击。(CVE-2015-0799)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Mozilla 项目报告：

MFSA 2015-44 通过 HTTP/2 Alt-Svc 标头绕过证书验证

MFSA 2015-43 通过阅读模式加载特权内容

远程 Mac OS X 主机上安装的 Firefox 版本低于 37.0.1。因此，它会受到与 HTTP/2“Alt-Svc”标头和 SSL 证书验证相关的错误的影响，从而引发中间人 (MitM) 攻击。

远程 Windows 主机上安装的 Firefox 版本低于 37.0.1。因此，它会受到与 HTTP/2“Alt-Svc”标头和 SSL 证书验证相关的错误的影响，从而引发中间人 (MitM) 攻击。

更新 Mozilla Firefox 和 Thunderbird 以修复多个重要漏洞。

Mozilla Firefox 更新到 37.0.1。Mozilla Thunderbird 已更新到 31.6.0。作为依存关系，mozilla-nspr 已更新到 4.10.8。

Mozilla Firefox 中修复了下列漏洞：

- 多项内存安全危害 (MFSA 2015-30/CVE-2015-0814/CVE-2015-0815 boo#925392)

- 使用 Fluendo MP3 GStreamer 插件时的释放后使用 (MFSA 2015-31/CVE-2015-0813 bmo#1106596 boo#925393)

- 通过 MITM 攻击绕过附加组件轻量级主题安装批准 (MFSA 2015-32/CVE-2015-0812 bmo#1128126 boo#925394)

- resource:// 文档可加载特权页面 (MFSA 2015-33/CVE-2015-0816 bmo#1144991 boo#925395)

- QCMS 库中的越界读取 (MFSA-2015-34/CVE-2015-0811 bmo#1132468 boo#925396)

- WebRTC 中简单类型数组的内存管理不正确 (MFSA-2015-36/CVE-2015-0808 bmo#1109552 boo#925397)

- CORS 请求在预检后不应遵循 30x 重定向 (MFSA-2015-37/CVE-2015-0807 bmo#1111834 boo#925398)

- 非主线程复合中的内存损坏崩溃 (MFSA-2015-38/CVE-2015-0805/CVE-2015-0806 bmo#1135511 bmo#1099437 boo#925399)

- 由于类型混淆缺陷导致的释放后使用 (MFSA-2015-39/CVE-2015-0803/CVE-2015-0804 (mo#1134560 boo#925400)

- 通过定位标记导航的同源绕过 (MFSA-2015-40/CVE-2015-0801 bmo#1146339 boo#925401)

- Windows 在导航到非特权页面时可以保留对特权内容的访问权限 (MFSA-2015-42/CVE-2015-0802 bmo#1124898 boo#925402)

在未作为 openSUSE 更新发布的功能中修复了下列漏洞：

- 通过 HTTP/2 Alt-Svc 标头可绕过证书验证 (MFSA 2015-44/CVE-2015-0799 bmo#1148328 bnc#926166)

在 37.0 中添加而在 37.0.1 中删除的功能包括：

- 在服务器支持 HTTP/2 AltSvc 时适时加密 HTTP 流量

Mozilla Firefox 中添加或更新了以下功能：

- 心跳信息用户评级系统

- 将 Yandex 设置为土耳其语区域设置的默认搜索提供程序

- Bing 搜索现在使用 HTTPS 进行安全搜索

- 通过 OneCRL 集中证书吊销改进针对站点假冒的防范措施

- TLS 的更多行为变更

Mozilla Thunderbird 中修复了下列漏洞：

- 多项内存安全危害 (MFSA 2015-30/CVE-2015-0814/CVE-2015-0815 boo#925392)

- 使用 Fluendo MP3 GStreamer 插件时的释放后使用 (MFSA 2015-31/CVE-2015-0813 bmo#1106596 boo#925393)

- resource:// 文档可加载特权页面 (MFSA 2015-33/CVE-2015-0816 bmo#1144991 boo#925395)

- CORS 请求在预检后不应遵循 30x 重定向 (MFSA-2015-37/CVE-2015-0807 bmo#1111834 boo#925398)

- 通过定位标记导航的同源绕过 (MFSA-2015-40/CVE-2015-0801 bmo#1146339 boo#925401)

作为依存关系，mozilla-nspr 已更新到 4.10.8 并已接受以下变更：

- bmo#573192：删除基于堆栈的 PRFileDesc 缓存。

- bmo#756047：检查 _POSIX_THREAD_PRIORITY_SCHEDULING > 0 而非仅检查是否已定义该标识符。

- bmo#1089908：修复 _PR_MD_LOCKFILE 中的变量遮蔽。
 使用 PR_ARRAY_SIZE 以获取 _PR_RUNQ(t->cpu) 的数组大小。

- bmo#1106600：将 PR_ASSERT(!'foo') 替换为 PR_NOT_REACHED('foo') 以修复 clang -Wstring-conversion 警告。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
87710	GLSA-201512-10：Mozilla 产品：多种漏洞 (Bar Mitzvah) (Logjam)	Nessus	Gentoo Local Security Checks	2016/1/4	2022/12/5	critical
82643	Ubuntu 14.04 LTS：Firefox 漏洞 (USN-2557-1)	Nessus	Ubuntu Local Security Checks	2015/4/8	2023/10/20	critical
82579	FreeBSD：mozilla -- 多种漏洞 (b8321d76-24e7-4b72-a01d-d12c4445d826)	Nessus	FreeBSD Local Security Checks	2015/4/6	2021/1/6	medium
82582	Firefox < 37.0.1 HTTP/2 Alt-Svc 标头证书验证绕过 (Mac OS X)	Nessus	MacOS X Local Security Checks	2015/4/6	2019/11/22	medium
82583	Firefox < 37.0.1 HTTP/2 Alt-Svc 标头证书验证绕过	Nessus	Windows	2015/4/6	2019/11/22	medium
82651	openSUSE 安全更新：MozillaFirefox / MozillaThunderbird / mozilla-nspr (openSUSE-2015-290)	Nessus	SuSE Local Security Checks	2015/4/9	2021/1/19	high

检测

插件搜索

critical

critical

medium

medium

medium

high