已安装的 Firefox 版本低于 8.0，因此可能受到以下安全问题的影响：

  - 在“Shift-JIS”编码中未正确处理某些无效序列，可能允许进行跨站脚本攻击。(CVE-2011-3648)

  - 分析带有多个函数的 JavaScript 文件可能导致应用程序崩溃。甚至在未使用调试 API 时，也可能触发此行为。(CVE-2011-3650)

  - 存在多个内存安全问题。(CVE-2011-3651)

  - 未校验的内存分配失败可导致应用程序崩溃。(CVE-2011-3652)

  - WebGL 图形和 GPU 驱动程序的问题可能允许跨源图像窃取。(CVE-2011-3653)

  - 存在与链接到非 SVG 元素的 SVG 'mpath' 相关的错误，可能导致出现能够被利用的应用程序崩溃。(CVE-2011-3654)

  内部权限检查的错误可允许 Web 内容获得权限升级。
    (CVE-2011-3655)

SeaMonkey 已升级到版本 2.5，从而修复了以下安全问题：

- MFSA 2011-47/CVE-2011-3648 (bmo#690225) 使用 Shift-JIS 的站点的潜在 XSS

- MFSA 2011-48/CVE-2011-3651/CVE-2011-3652/ CVE-2011-3654 多项内存安全危害

- MFSA 2011-49/CVE-2011-3650 (bmo#674776) 使用 Firebug 进行配置时发生内存损坏

- MFSA 2011-52/CVE-2011-3655 (bmo#672182) 通过 NoWaiverWrapper 执行代码

远程 Solaris 系统缺少用于处理安全更新的必要修补程序：

- 低于 3.6.23 的 Mozilla Firefox 和 4.x 至 6、低于 7.0 的 Thunderbird 以及低于 2.4 的 SeaMonkey 不会阻止在按住 Enter 键时开始下载，这允许受用户协助的远程攻击者通过构建的网站绕过预期访问限制。(CVE-2011-2372)

- 低于 3.6.23 和 4.x 至 6 的 Mozilla Firefox、低于 7.0 的 Thunderbird 以及低于 2.4 的 SeaMonkey 的浏览器引擎中存在多种不明漏洞，允许远程攻击者通过未知矢量造成拒绝服务（内存损坏和应用程序崩溃）或执行任意代码。
 (CVE-2011-2995)

- Mozilla Firefox 6、低于 7.0 的 Thunderbird 以及低于 2.4 的 SeaMonkey 的浏览器引擎中存在多种不明漏洞，允许远程攻击者通过未知矢量造成拒绝服务（内存损坏和应用程序崩溃）或执行任意代码。(CVE-2011-2997)

- 低于 3.6.23 和 4.x 至 6 的 Mozilla Firefox、低于 7.0 的 Thunderbird 以及低于 2.4 的 SeaMonkey 未正确处理包含多种 Location、Content-Length 或 Content-Disposition 标头的 HTTP 响应，这可使远程攻击者更容易通过构建的标头值进行 HTTP 响应拆分攻击。(CVE-2011-3000)

- Mozilla Firefox 4.x 至 6、低于 7.0 的 Thunderbird 以及低于 2.4 的 SeaMonkey 不会阻止在按住 Enter 键时手动安装附加组件，这允许受用户协助的远程攻击者通过可触发不明内部错误的构建网站绕过预期访问限制。
 (CVE-2011-3001)

- Almost Native Graphics Layer Engine (ANGLE) 在低于 7.0 的 Mozilla Firefox 和低于 2.4 的 SeaMonkey 中使用时，不验证 GrowAtomTable 函数调用的返回值，这允许远程攻击者通过用于触发内存分配错误和产生缓冲区溢出的矢量，造成拒绝服务（应用程序崩溃）或可能执行任意代码。
 (CVE-2011-3002)

- 低于 7.0 的 Mozilla Firefox 和低于 2.4 的 SeaMonkey 允许远程攻击者通过用于触发内存分配错误和产生越界写入操作的不明 WebGL 测试案例，造成拒绝服务（应用程序崩溃）或可能执行任意代码。(CVE-2011-3003)

- 调用附加组件中的 loadSubScript 方法期间，Mozilla Firefox 4.x 到 6 和低于 2.4 的 SeaMonkey 中的 JSSubScriptLoader 未正确处理 XPCNativeWrappers，这更容易使远程攻击者通过构建来利用特定解包行为的网站获取权限。(CVE-2011-3004)

- Mozilla Firefox 4.x 至 6、低于 7.0 的 Thunderbird 以及低于 2.4 的 SeaMonkey 中存在释放后使用漏洞，允许远程攻击者通过 .ogg 文件中构建的 OGG 标头造成拒绝服务（应用程序崩溃）或执行任意代码。(CVE-2011-3005)

- 低于 7.0 的 Mozilla Firefox、低于 7.0 的 Thunderbird 以及低于 2.4 的 SeaMonkey 中使用的 YARR 允许远程攻击者通过构建的 JavaScript 造成拒绝服务（应用程序崩溃）或执行任意代码。(CVE-2011-3232)

- 低于 3.6.24 和 4.x 至 7.0 的 Mozilla Firefox 以及低于 3.1.6 和 5.0 至 7.0 的 Thunderbird 中的跨站脚本 (XSS) 漏洞允许远程攻击者通过使用 Shift JIS 编码构建的文本注入任意 Web 脚本或 HTML。
 (CVE-2011-3648)

- 低于 3.6.24 和 4.x 至 7.0 的 Mozilla Firefox 以及低于 3.1.6 和 5.0 至 7.0 的 Thunderbird 未正确处理包含众多函数的 JavaScript 文件，这允许受用户协助的远程攻击者通过由调试 API 访问的构建文件造成拒绝服务（内存损坏和应用程序崩溃）或造成其他不明影响，这一点已由 Firebug 证实。(CVE-2011-3650)

- Mozilla Firefox 7.0 以及 Thunderbird 7.0 的浏览器引擎中存在多种不明漏洞，允许远程攻击者通过未知矢量造成拒绝服务（内存损坏和应用程序崩溃）或执行任意代码。(CVE-2011-3651)

- 低于 8.0 的 Mozilla Firefox 以及低于 8.0 的 Thunderbird 中的浏览器引擎未正确分配内存，这允许远程攻击者通过不明矢量造成拒绝服务（内存损坏和应用程序崩溃）或执行任意代码。
 (CVE-2011-3652)

- 低于 8.0 的 Mozilla Firefox 以及低于 8.0 的 Thunderbird 中的浏览器引擎未正确处理从 SVG mpath 元素到非 SVG 元素的链接，这允许远程攻击者通过不明矢量造成拒绝服务（内存损坏和应用程序崩溃）或执行任意代码。
 (CVE-2011-3654)

- Mozilla Firefox 4.x 至 7.0 以及 Thunderbird 5.0 至 7.0 在未检查是否使用 NoWaiverWrapper 封装程序的情况下执行访问控制，这允许远程攻击者通过构建的网站获取权限。
 (CVE-2011-3655)

USN-1277-1 修复了 Firefox 中的漏洞。此更新提供用于 Firefox 8 的 Mozvoikko 和 ubufox 更新程序包。

Yosuke Hasegawa 发现 Mozilla 浏览器引擎未正确处理 Shift-JIS 编码中的无效序列。这可能在未使用调试 API 的情况下触发此崩溃，从而可能允许恶意网站利用此漏洞。攻击者可能利用此缺陷窃取数据或向 Web 内容中注入恶意脚本。(CVE-2011-3648)

Marc Schoenefeld 发现使用 Firebug 分析带有多个函数的 JavaScript 文件将导致 Firefox 崩溃。攻击者可能可以在不使用调试 API 的情况下利用此问题，从而远程造成浏览器崩溃，导致拒绝服务。
(CVE-2011-3650)

Jason Orendorff、Boris Zbarsky、Gregg Tavares、Mats Palmgren、Christian Holler、Jesse Ruderman、Simona Marcu、Bob Clary 和 William McCloskey 发现 Firefox 及其他基于 Mozilla 的产品中使用的浏览器引擎中的多种内存安全缺陷。攻击者可能可以利用这些缺陷，以调用 Firefox 的用户的权限执行任意代码，或者可能造成浏览器崩溃，从而导致拒绝服务。(CVE-2011-3651)

已发现在某些情况下可因未检查的分配失败而造成 Firefox 崩溃，从而导致拒绝服务。还可能可以通过调用 Firefox 的用户的权限执行任意代码。(CVE-2011-3652)

Aki Helin 发现 Firefox 不会正确处理从 SVG mpath 元素到非 SVG 元素的链接。攻击者可以利用此漏洞造成 Firefox 崩溃，从而导致拒绝服务，或者可能以调用 Firefox 的用户的权限执行任意代码。(CVE-2011-3654)

已发现内部权限检查未遵守随 Firefox 4 引入的 NoWaiverWrappers。攻击者可能可以利用此问题在 Web 内容的浏览器中获得提升的权限。(CVE-2011-3655)。

MozillaFirefox 已更新至版本 8 (bnc#728520)，修复了以下安全问题：

dbg114-MozillaFirefox-5399 MozillaFirefox-5399 new_updateinfo MFSA 2011-47/CVE-2011-3648 (bmo#690225) 利用 Shift-JIS 攻击站点的潜在 XSS dbg114-MozillaFirefox-5399 MozillaFirefox-5399 new_updateinfo MFSA 2011-48/CVE-2011-3651/CVE-2011-3652/CVE-2011-3654 多项内存安全危害 dbg114-MozillaFirefox-5399 MozillaFirefox-5399 new_updateinfo MFSA 2011-49/CVE-2011-3650 (bmo#674776) 使用 Firebug 进行配置时发生内存损坏 dbg114-MozillaFirefox-5399 MozillaFirefox-5399 new_updateinfo MFSA 2011-52/CVE-2011-3655 (bmo#672182) 通过 NoWaiverWrapper 执行代码

- 衍合了修补程序

Mozilla Firefox 和 Thunderbird 已更新到 8.0 版本，修复了多种安全漏洞：

- MFSA 2011-52 - 通过 NoWaiverWrapper 执行代码 (CVE-2011-3655)

- MFSA 2011-51 - 搭载了集成 Intel GPU 的 Mac 上的跨源图像窃取 (CVE-2011-3653)

- MFSA 2011-50 - 使用画布和 Windows D2D 窃取跨源数据 (CVE-2011-3649)

- MFSA 2011-49 - 使用 Firebug 进行配置时发生内存损坏 (CVE-2011-3650)

- MFSA 2011-48 - 多项内存安全危害 (rv:8.0)（CVE-2011-3651、CVE-2011-3652、CVE-2011-3654）

- MFSA 2011-47 - 使用 Shift-JIS 的站点的潜在 XSS (CVE-2011-3648)

安装的 Thunderbird 版本低于 8.0，因此可能受到以下安全问题的影响：

  - 在“Shift-JIS”编码中未正确处理某些无效序列，并可能允许进行跨站脚本攻击。(CVE-2011-3648)

  - 添加“Azure”图形功能重新引入了跨源信息泄露问题，这在之前的 CVE-2011-2986 中有所描述。(CVE-2011-3649)

  - 分析带有多个函数的 JavaScript 文件可能导致应用程序崩溃。甚至在未使用调试 API 时，也可能触发此行为。(CVE-2011-3650)

  - 存在多个内存安全问题。(CVE-2011-3651)

  - 未校验的内存分配失败可导致应用程序崩溃。(CVE-2011-3652)

  - WebGL 图形和 GPU 驱动程序的问题可允许跨源图像窃取。(CVE-2011-3653)

  - 存在与链接到非 SVG 元素的 SVG 'mpath' 相关的错误，并可能导致出现能够被利用的应用程序崩溃。(CVE-2011-3654)

  内部权限检查的错误可允许 Web 内容获得权限升级。
    (CVE-2011-3655)

SeaMonkey 已更新到版本 2.5，修复了多个安全问题：

- MFSA 2011-47/CVE-2011-3648 (bmo#690225) 使用 Shift-JIS 的站点的潜在 XSS

- MFSA 2011-48/CVE-2011-3651/CVE-2011-3652/ CVE-2011-3654 多项内存安全危害

- MFSA 2011-49/CVE-2011-3650 (bmo#674776) 使用 Firebug 进行配置时发生内存损坏

- MFSA 2011-52/CVE-2011-3655 (bmo#672182) 通过 NoWaiverWrapper 执行代码

XULRunner 中的更改：

- 更新到 12.0 (bnc#758408)

- 衍合了修补程序

- MFSA 2012-20/CVE-2012-0467/CVE-2012-0468 多项内存安全危害

- MFSA 2012-22/CVE-2012-0469 (bmo#738985) IDBKeyRange 中的释放后使用

- MFSA 2012-23/CVE-2012-0470 (bmo#734288) 无效的释放导致 gfxImageSurface 中的堆损坏

- MFSA 2012-24/CVE-2012-0471 (bmo#715319) 通过多字节内容处理错误造成的潜在 XSS

- MFSA 2012-25/CVE-2012-0472 (bmo#744480) 使用 cairo-dwrite 进行字体渲染期间的潜在内存损坏

- MFSA 2012-26/CVE-2012-0473 (bmo#743475) WebGL.drawElements 可因 FindMaxUshortElement 错误而读取非法视频内存

- MFSA 2012-27/CVE-2012-0474 (bmo#687745, bmo#737307) 页面加载短路可导致 XSS

- MFSA 2012-28/CVE-2012-0475 (bmo#694576) 原始标头中有歧义的 IPv6 可绕过 webserver 访问限制

- MFSA 2012-29/CVE-2012-0477 (bmo#718573) 因 ISO-2022-KR/ISO-2022-CN 解码问题而存在的潜在 XSS

- MFSA 2012-30/CVE-2012-0478 (bmo#727547) 使用 textImage2D 的 WebGL 内容发生的崩溃

- MFSA 2012-31/CVE-2011-3062 (bmo#739925) OpenType 审查器中的差一错误

- MFSA 2012-32/CVE-2011-1187 (bmo#624621) HTTP 重定向和远程内容可由 JavaScript 错误读取

- MFSA 2012-33/CVE-2012-0479 (bmo#714631) 加载 RSS 和 Atom 源时的潜在站点身份欺骗

- 添加了 mozilla-libnotify.patch，以允许当没有正在运行的通知后台程序时，从 libnotify 回退到基于 xul 的事件

- gcc 4.7 补丁

- mozilla-gcc47.patch

- 临时为 Factory 禁用 crashreporter

MozillaFirefox 中的更改：

- 更新到 Firefox 12.0 (bnc#758408)

- 衍合了修补程序

- MFSA 2012-20/CVE-2012-0467/CVE-2012-0468 多项内存安全危害

- MFSA 2012-22/CVE-2012-0469 (bmo#738985) IDBKeyRange 中的释放后使用

- MFSA 2012-23/CVE-2012-0470 (bmo#734288) 无效的释放导致 gfxImageSurface 中的堆损坏

- MFSA 2012-24/CVE-2012-0471 (bmo#715319) 通过多字节内容处理错误造成的潜在 XSS

- MFSA 2012-25/CVE-2012-0472 (bmo#744480) 使用 cairo-dwrite 进行字体渲染期间的潜在内存损坏

- MFSA 2012-26/CVE-2012-0473 (bmo#743475) WebGL.drawElements 可因 FindMaxUshortElement 错误而读取非法视频内存

- MFSA 2012-27/CVE-2012-0474 (bmo#687745, bmo#737307) 页面加载短路可导致 XSS

- MFSA 2012-28/CVE-2012-0475 (bmo#694576) 原始标头中有歧义的 IPv6 可绕过 webserver 访问限制

- MFSA 2012-29/CVE-2012-0477 (bmo#718573) 因 ISO-2022-KR/ISO-2022-CN 解码问题而存在的潜在 XSS

- MFSA 2012-30/CVE-2012-0478 (bmo#727547) 使用 textImage2D 的 WebGL 内容发生的崩溃

- MFSA 2012-31/CVE-2011-3062 (bmo#739925) OpenType 审查器中的差一错误

- MFSA 2012-32/CVE-2011-1187 (bmo#624621) HTTP 重定向和远程内容可由 JavaScript 错误读取

- MFSA 2012-33/CVE-2012-0479 (bmo#714631) 加载 RSS 和 Atom 源时的潜在站点身份欺骗

- 添加了 mozilla-libnotify.patch，以允许当没有正在运行的通知后台程序时，从 libnotify 回退到基于 xul 的事件

- gcc 4.7 补丁

- mozilla-gcc47.patch

- 临时为 Factory 禁用 crashreporter

- 为正确的声音通知推荐 libcanberra0

MozillaThunderbird 中的更改：

- 更新到 Thunderbird 12.0 (bnc#758408)

- MFSA 2012-20/CVE-2012-0467/CVE-2012-0468 多项内存安全危害

- MFSA 2012-22/CVE-2012-0469 (bmo#738985) IDBKeyRange 中的释放后使用

- MFSA 2012-23/CVE-2012-0470 (bmo#734288) 无效的释放导致 gfxImageSurface 中的堆损坏

- MFSA 2012-24/CVE-2012-0471 (bmo#715319) 通过多字节内容处理错误造成的潜在 XSS

- MFSA 2012-25/CVE-2012-0472 (bmo#744480) 使用 cairo-dwrite 进行字体渲染期间的潜在内存损坏

- MFSA 2012-26/CVE-2012-0473 (bmo#743475) WebGL.drawElements 可因 FindMaxUshortElement 错误而读取非法视频内存

- MFSA 2012-27/CVE-2012-0474 (bmo#687745, bmo#737307) 页面加载短路可导致 XSS

- MFSA 2012-28/CVE-2012-0475 (bmo#694576) 原始标头中有歧义的 IPv6 可绕过 webserver 访问限制

- MFSA 2012-29/CVE-2012-0477 (bmo#718573) 因 ISO-2022-KR/ISO-2022-CN 解码问题而存在的潜在 XSS

- MFSA 2012-30/CVE-2012-0478 (bmo#727547) 使用 textImage2D 的 WebGL 内容发生的崩溃

- MFSA 2012-31/CVE-2011-3062 (bmo#739925) OpenType 审查器中的差一错误

- MFSA 2012-32/CVE-2011-1187 (bmo#624621) HTTP 重定向和远程内容可由 JavaScript 错误读取

- MFSA 2012-33/CVE-2012-0479 (bmo#714631) 加载 RSS 和 Atom 源时的潜在站点身份欺骗

- 将 Enigmail 更新到 1.4.1

- 添加了 mozilla-revert_621446.patch

- 添加了 mozilla-libnotify.patch (bmo#737646)

- 添加了 mailnew-showalert.patch (bmo#739146)

- 添加了 mozilla-gcc47.patch 和 mailnews-literals.patch 以使用最近的 gcc 4.7 修复编译问题

- 为 Factory（gcc 4.7 问题）临时禁用了 crashreporter

seamonkey 中的更改：

- 更新到 SeaMonkey 2.9 (bnc#758408)

- MFSA 2012-20/CVE-2012-0467/CVE-2012-0468 多项内存安全危害

- MFSA 2012-22/CVE-2012-0469 (bmo#738985) IDBKeyRange 中的释放后使用

- MFSA 2012-23/CVE-2012-0470 (bmo#734288) 无效的释放导致 gfxImageSurface 中的堆损坏

- MFSA 2012-24/CVE-2012-0471 (bmo#715319) 通过多字节内容处理错误造成的潜在 XSS

- MFSA 2012-25/CVE-2012-0472 (bmo#744480) 使用 cairo-dwrite 进行字体渲染期间的潜在内存损坏

- MFSA 2012-26/CVE-2012-0473 (bmo#743475) WebGL.drawElements 可因 FindMaxUshortElement 错误而读取非法视频内存

- MFSA 2012-27/CVE-2012-0474 (bmo#687745, bmo#737307) 页面加载短路可导致 XSS

- MFSA 2012-28/CVE-2012-0475 (bmo#694576) 原始标头中有歧义的 IPv6 可绕过 webserver 访问限制

- MFSA 2012-29/CVE-2012-0477 (bmo#718573) 因 ISO-2022-KR/ISO-2022-CN 解码问题而存在的潜在 XSS

- MFSA 2012-30/CVE-2012-0478 (bmo#727547) 使用 textImage2D 的 WebGL 内容发生的崩溃

- MFSA 2012-31/CVE-2011-3062 (bmo#739925) OpenType 审查器中的差一错误

- MFSA 2012-32/CVE-2011-1187 (bmo#624621) HTTP 重定向和远程内容可由 JavaScript 错误读取

- MFSA 2012-33/CVE-2012-0479 (bmo#714631) 加载 RSS 和 Atom 源时的潜在站点身份欺骗

- 更新到 2.9b4

- 添加了 mozilla-sle11.patch 并添加能够用于 SLE11/11.1 版本的例外

- 从版本中排除损坏的 gl 区域设置

- 通过添加 mozilla-revert_621446.patch 修复了 11.2-x86_64 上的版本

- 添加了 mozilla-gcc47.patch 和 mailnews-literals.patch 以使用最近的 gcc 4.7 修复编译问题

已安装的 Firefox 版本低于 8.0，因此可能受到以下安全问题的影响：

  - 在“Shift-JIS”编码中未正确处理某些无效序列，并可能允许进行跨站脚本攻击。(CVE-2011-3648)

  - 添加“Azure”图形功能重新引入了跨源信息泄露问题，这在之前的 CVE-2011-2986 中有所描述。(CVE-2011-3649)

  - 分析带有多个函数的 JavaScript 文件可能导致应用程序崩溃。甚至在未使用调试 API 时，也可能触发此行为。(CVE-2011-3650)

  - 存在多个内存安全问题。(CVE-2011-3651)

  - 未校验的内存分配失败可导致应用程序崩溃。(CVE-2011-3652)

  - WebGL 图形和 GPU 驱动程序的问题可能允许跨源图像窃取。(CVE-2011-3653)

  - 存在与链接到非 SVG 元素的 SVG 'mpath' 相关的错误，并可能导致出现能够被利用的应用程序崩溃。(CVE-2011-3654)

  内部权限检查的错误可允许 Web 内容获得权限升级。
    (CVE-2011-3655)

已在 mozilla NSS、firefox 和 thunderbird 中识别并修复了安全问题：

DigiCert Sdn 颁发的 22 个弱 512 位证书。Bhd 证书颁发机构已从根 CA 存储空间中吊销。此问题已通过 rootcerts-20111103.00 和 nss-3.13 修复。DigiCert Sdn.Bhd 为 Entrust 和 Verizon (GTE CyberTrust) 之下的马来西亚附属证书颁发机构。其与美国公司 DigiCert, Inc.（Mozilla 的根计划成员）无联盟关系。

Mozilla Network Security Services (NSS) 中有不受信任的搜索路径漏洞，可能允许本地用户通过顶层目录中的特洛伊木马程序 pkcs11.txt 文件取得权限 (CVE-2011-3640)。

低于 3.6.24 和 4.x 至 7.0 的 Mozilla Firefox 以及低于 3.1.6 和 5.0 至 7.0 的 Thunderbird 中的跨站脚本 (XSS) 漏洞允许远程攻击者通过使用 Shift JIS 编码构建的文本注入任意 Web 脚本或 HTML (CVE-2011-3648)。

低于 3.6.24 和 4.x 至 7.0 的 Mozilla Firefox 以及低于 3.1.6 和 5.0 至 7.0 的 Thunderbird 未正确处理包含众多函数的 JavaScript 文件，这允许受用户协助的远程攻击者通过由调试 API 访问的构建文件造成拒绝服务（内存损坏和应用程序崩溃）或造成其他不明影响，这一点已由 Firebug 证实 (CVE-2011-3650)。

下列漏洞仅影响 Mandriva Linux 2011：

Mozilla Firefox 7.0 以及 Thunderbird 7.0 的浏览器引擎中存在多种不明漏洞，允许远程攻击者通过未知矢量造成拒绝服务（内存损坏和应用程序崩溃）或执行任意代码 (CVE-2011-3651)。

低于 8.0 的 Mozilla Firefox 以及低于 8.0 的 Thunderbird 中的浏览器引擎未正确分配内存，这允许远程攻击者通过不明矢量造成拒绝服务（内存损坏和应用程序崩溃）或执行任意代码 (CVE-2011-3652)。

低于 8.0 的 Mozilla Firefox 以及低于 8.0 的 Thunderbird 中的浏览器引擎未正确处理从 SVG mpath 元素到非 SVG 元素的链接，这允许远程攻击者通过不明矢量造成拒绝服务（内存损坏和应用程序崩溃）或执行任意代码 (CVE-2011-3654)。

Mozilla Firefox 4.x 至 7.0 以及 Thunderbird 5.0 至 7.0 在未检查是否使用 NoWaiverWrapper 封装程序的情况下执行访问控制，这允许远程攻击者通过构建的网站获取权限 (CVE-2011-3655)。

下列漏洞仅影响 Mandriva Enterpriser Server 5.2 和 Mandriva Linux 2010.2：

在 3.6.24 版之前的 Mozilla Firefox 和 3.1.6 版之前的 Thunderbird 中，JSSubScriptLoader 在调用附加组件中的 loadSubScript 方法期间，未正确处理 XPCNativeWrappers，这会让远程攻击者更容易通过利用某些解包行为的特别构建的网站获取权限；这是与 CVE-2011-3004 相关的问题 (CVE-2011-3647)。

此外，已重新构建一些必要的程序包并作为更新提供。

远程 Solaris 系统缺少用于处理安全更新的必要修补程序：

  - 低于 3.6.24 和 4.x 至 7.0 的 Mozilla Firefox 以及低于 3.1.6 和 5.0 至 7.0 的 Thunderbird 中的跨站脚本 (XSS) 漏洞允许远程攻击者通过使用 Shift JIS 编码构建的文本注入任意 Web 脚本或 HTML。
    (CVE-2011-3648)

  - 3.6.24 之前和 4.x 至 7.0 的 Mozilla Firefox 以及 3.1.6 之前和 5.0 至 7.0 的 Thunderbird 未正确处理包含众多函数的 JavaScript 文件，这允许受用户协助的远程攻击者通过由调试 API 访问的构建文件造成拒绝服务（内存损坏和应用程序崩溃）或造成其他不明影响，这一点已由 Firebug 证实。(CVE-2011-3650)

  - Mozilla Firefox 7.0 以及 Thunderbird 7.0 的浏览器引擎中存在多个不明漏洞，允许远程攻击者通过未知矢量造成拒绝服务（内存损坏和应用程序崩溃）或执行任意代码。(CVE-2011-3651)

  - 低于 8.0 的 Mozilla Firefox 以及低于 8.0 的 Thunderbird 中的浏览器引擎未正确分配内存，这允许远程攻击者通过不明矢量造成拒绝服务（内存损坏和应用程序崩溃）或执行任意代码。
    (CVE-2011-3652)

  - 低于 8.0 的 Mozilla Firefox 以及低于 8.0 的 Thunderbird 中的浏览器引擎未正确处理从 SVG mpath 元素到非 SVG 元素的链接，这允许远程攻击者通过不明矢量造成拒绝服务（内存损坏和应用程序崩溃）或执行任意代码。
    (CVE-2011-3654)

  - Mozilla Firefox 4.x 至 7.0 以及 Thunderbird 5.0 至 7.0 在未检查是否使用 NoWaiverWrapper 封装程序的情况下执行访问控制，这允许远程攻击者通过构建的网站获取权限。
    (CVE-2011-3655)

远程主机受到 GLSA-201301-01 中所述漏洞的影响（Mozilla 产品：多种漏洞）

在 Mozilla Firefox、Thunderbird、SeaMonkey、NSS、GNU IceCat 和 XULRunner 中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

远程攻击者可引诱用户查看特别构建的网页或电子邮件，这可能导致执行任意代码或拒绝服务的情况。此外，远程攻击者可能可以执行中间人攻击、获取敏感信息、绕过限制和保护机制、强制文件下载，进行 XML 注入攻击、进行 XSS 攻击、绕过同源策略、欺骗 URL 进行钓鱼攻击、触发垂直滚动、欺骗位置栏、欺骗 SSL 标识符、修改浏览器的字体、进行点击劫持攻击或者造成其他不明影响。
 本地攻击者可获得经提升的权限、获取敏感信息或替换任意已下载的文件。
 变通方案：

目前无任何已知的变通方案。

安装的 Thunderbird 7.x 版本可能受到以下安全问题的影响：

  - 在“Shift-JIS”编码中未正确处理某些无效序列，可能允许进行跨站脚本攻击。(CVE-2011-3648)

  - 分析带有多个函数的 JavaScript 文件可能导致应用程序崩溃。甚至在未使用调试 API 时，也可能触发此行为。(CVE-2011-3650)

  - 存在多个内存安全问题。(CVE-2011-3651)

  - 未校验的内存分配失败可导致应用程序崩溃。(CVE-2011-3652)

  - WebGL 图形和 GPU 驱动程序的问题可能允许跨源图像窃取。(CVE-2011-3653)

  - 存在与链接到非 SVG 元素的 SVG 'mpath' 相关的错误，可能导致出现能够被利用的应用程序崩溃。(CVE-2011-3654)

  内部权限检查的错误可允许 Web 内容获得权限升级。
    (CVE-2011-3655)

Mozilla 项目报告：

MFSA 2011-46 loadSubScript 解包 XPCNativeWrapper 范围参数（1.9.2 分支）

MFSA 2011-47 使用 Shift-JIS 的站点的潜在 XSS

MFSA 2011-48 - 多项内存安全危害 (rv:8.0)

MFSA 2011-49 使用 Firebug 进行配置时发生内存损坏

MFSA 2011-50 使用画布和 Windows D2D 窃取跨源数据

MFSA 2011-51 搭载了集成 Intel GPU 的 Mac 上的跨源图像窃取

MFSA 2011-52 通过 NoWaiverWrapper 执行代码

Yosuke Hasegawa 发现 Mozilla 浏览器引擎未正确处理 Shift-JIS 编码中的无效序列。这可能在未使用调试 API 的情况下触发此崩溃，从而可能允许恶意网站利用此漏洞。攻击者可能利用此缺陷窃取数据或向 Web 内容中注入恶意脚本。(CVE-2011-3648)

Marc Schoenefeld 发现使用 Firebug 分析带有多个函数的 JavaScript 文件将导致 Firefox 崩溃。攻击者可能可以在不使用调试 API 的情况下利用此问题，从而远程造成浏览器崩溃，导致拒绝服务。(CVE-2011-3650)

Jason Orendorff、Boris Zbarsky、Gregg Tavares、Mats Palmgren、Christian Holler、Jesse Ruderman、Simona Marcu、Bob Clary 和 William McCloskey 发现 Firefox 及其他基于 Mozilla 的产品中使用的浏览器引擎中的多种内存安全缺陷。攻击者可能可以利用这些缺陷，以调用 Firefox 的用户的权限执行任意代码，或者可能造成浏览器崩溃，从而导致拒绝服务。(CVE-2011-3651)

已发现在某些情况下可因未检查的分配失败而造成 Firefox 崩溃，从而导致拒绝服务。还可能可以通过调用 Firefox 的用户的权限执行任意代码。(CVE-2011-3652)

Aki Helin 发现 Firefox 不会正确处理从 SVG mpath 元素到非 SVG 元素的链接。攻击者可以利用此漏洞造成 Firefox 崩溃，从而导致拒绝服务，或者可能以调用 Firefox 的用户的权限执行任意代码。(CVE-2011-3654)

已发现内部权限检查未遵守随 Firefox 4 引入的 NoWaiverWrappers。攻击者可能可以利用此问题在 Web 内容的浏览器中获得提升的权限。(CVE-2011-3655)。

Yosuke Hasegawa 发现 Mozilla 浏览器引擎未正确处理 Shift-JIS 编码中的无效序列。这可能在未使用调试 API 的情况下触发此崩溃，从而可能允许恶意网站利用此漏洞。攻击者可能利用此缺陷窃取数据或向 Web 内容中注入恶意脚本。(CVE-2011-3648)

Marc Schoenefeld 发现使用 Firebug 分析带有多个函数的 JavaScript 文件将导致 Firefox 崩溃。攻击者可能可以在不使用调试 API 的情况下利用此问题，从而远程造成 Thunderbird 崩溃，导致拒绝服务。(CVE-2011-3650)

Jason Orendorff、Boris Zbarsky、Gregg Tavares、Mats Palmgren、Christian Holler、Jesse Ruderman、Simona Marcu、Bob Clary 和 William McCloskey 发现 Thunderbird 及其他基于 Mozilla 的产品中使用的浏览器引擎中的多种内存安全缺陷。攻击者可能可以利用这些缺陷，以调用 Thunderbird 的用户的权限执行任意代码，或者可能造成 Thunderbird 崩溃，从而导致拒绝服务。(CVE-2011-3651)

已发现在某些情况下可因未检查的分配失败而造成 Thunderbird 崩溃，从而导致拒绝服务。还可能可以通过调用 Thunderbird 的用户的权限执行任意代码。
(CVE-2011-3652)

Aki Helin 发现 Thunderbird 不会正确处理从 SVG mpath 元素到非 SVG 元素的链接。攻击者可以利用此漏洞造成 Thunderbird 崩溃，从而导致拒绝服务，或者可能以调用 Thunderbird 的用户的权限执行任意代码。(CVE-2011-3654)

已发现内部权限检查未遵守随 Thunderbird 5 引入的 NoWaiverWrappers。攻击者可能利用此问题在 Web 内容的 Thunderbird 中获得提升的权限。(CVE-2011-3655)。

SeaMonkey 已升级到版本 2.5，从而修复了以下安全问题：

dbg114-seamonkey-5487 new_updateinfo seamonkey-5487 MFSA 2011-47/CVE-2011-3648 (bmo#690225) 针对使用 Shift-JIS 的站点的潜在 XSS

dbg114-seamonkey-5487 new_updateinfo seamonkey-5487 MFSA 2011-48/CVE-2011-3651/CVE-2011-3652/CVE-2011-3654 多项内存安全危害

dbg114-seamonkey-5487 new_updateinfo seamonkey-5487 MFSA 2011-49/CVE-2011-3650 (bmo#674776) 使用 Firebug 进行配置时的内存损坏

dbg114-seamonkey-5487 new_updateinfo seamonkey-5487 MFSA 2011-52/CVE-2011-3655 (bmo#672182) 通过 NoWaiverWrapper 进行的代码执行

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
56756	Firefox < 8.0 多种漏洞 (Mac OS X)	Nessus	MacOS X Local Security Checks	2011/11/9	2018/7/14	high
75743	openSUSE 安全更新：seamonkey (openSUSE-SU-2011:1290-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/14	critical
80608	Oracle Solaris 第三方修补程序更新：firefox (multiple_vulnerabilities_in_mozilla_firefox1)	Nessus	Solaris Local Security Checks	2015/1/19	2021/1/14	critical
56945	Ubuntu 11.04 / 11.10：mozvoikko、ubufox 更新 (USN-1277-2)	Nessus	Ubuntu Local Security Checks	2011/11/26	2019/9/19	critical
75949	openSUSE 安全更新：MozillaFirefox (openSUSE-SU-2011:1243-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/14	critical
74542	openSUSE 安全更新：firefox / thunderbird (openSUSE-2011-9)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/14	critical
56753	Mozilla Thunderbird < 8.0 多个漏洞	Nessus	Windows	2011/11/9	2018/7/16	high
74522	openSUSE 安全更新：seamonkey (openSUSE-2011-34)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/14	critical
74612	openSUSE 安全更新：MozillaFirefox / MozillaThunderbird / seamonkey 等 (openSUSE-SU-2012:0567-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	critical
56751	Firefox < 8.0 多个漏洞	Nessus	Windows	2011/11/9	2018/7/16	high
56765	Mandriva Linux 安全公告：mozilla (MDVSA-2011:169)	Nessus	Mandriva Local Security Checks	2011/11/10	2021/1/6	critical
80783	Oracle Solaris 第三方修补程序更新：thunderbird (multiple_vulnerabilities_in_thunderbird2)	Nessus	Solaris Local Security Checks	2015/1/19	2021/1/14	critical
63402	GLSA-201301-01：Mozilla 产品：多种漏洞 (BEAST)	Nessus	Gentoo Local Security Checks	2013/1/8	2022/12/5	critical
56758	Thunderbird 7.x 多种漏洞 (Mac OS X)	Nessus	MacOS X Local Security Checks	2011/11/9	2018/7/14	high
56762	FreeBSD：mozilla -- 多种漏洞 (6c8ad3e8-0a30-11e1-9580-4061862b8c22)	Nessus	FreeBSD Local Security Checks	2011/11/10	2021/1/6	critical
56944	Ubuntu 11.04 / 11.10：firefox 漏洞 (USN-1277-1)	Nessus	Ubuntu Local Security Checks	2011/11/26	2019/9/19	critical
56969	Ubuntu 11.10：thunderbird 漏洞 (USN-1282-1)	Nessus	Ubuntu Local Security Checks	2011/11/29	2019/9/19	critical
76024	openSUSE 安全更新：seamonkey (openSUSE-SU-2011:1290-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	critical

检测

插件搜索

high

critical

critical

critical

critical

critical

high

critical

critical

high

critical

critical

critical

high

critical

critical

critical

critical