安装的 Firefox 版本低于 27.0，因此可能受到多种漏洞的影响：

- 浏览器引擎存在内存问题，可能导致拒绝服务或执行任意代码。（CVE-2014-1477、CVE-2014-1478）

- 存在关于仅系统封装程序 (SOW) 和 XML 绑定语言 (XBL) 的错误，可能允许泄露 XUL 内容。(CVE-2014-1479)

- 存在关于“打开文件”对话框的错误，可能允许用户执行非预期操作。
 (CVE-2014-1480)

- 存在关于 JavaScript 引擎和“窗口”对象处理的错误，可能产生不明影响。
 (CVE-2014-1481)

- 存在关于“RasterImage”和图像解码的错误，可能造成应用程序崩溃，并可能执行任意代码。(CVE-2014-1482)

- 存在关于 IFrame、“document.caretPositionFromPoint”和“document.elementFromPoint”的错误，可能允许跨源信息泄露。(CVE-2014-1483)

- 存在关于内容安全策略 (CSP) 和 XSLT 样式表的错误，可能允许非预期的脚本执行。(CVE-2014-1485)

- 存在关于图像处理和“imgRequestProxy”的释放后使用错误，可能造成应用程序崩溃，并可能执行任意代码。
 (CVE-2014-1486)

- 存在关于“Web 工作线程”的错误，可能允许跨源信息泄露。
 (CVE-2014-1487)

- 存在关于“Web 工作线程”和“asm.js”的错误，可能允许应用程序崩溃并可能执行任意代码。(CVE-2014-1488)

- 存在错误，可能允许网页访问“about:home”页面中的活动内容，从而导致数据丢失。(CVE-2014-1489)

- 网络安全服务 (NSS) 在 libssl 中包含争用条件，会话票证处理过程中会出现这种情况。远程攻击者可利用此缺陷引起拒绝服务。(CVE-2014-1490)

- 网络安全服务 (NSS) 在 Diffie-Hellman 密钥交换时没有正确限制公共值，导致远程攻击者可绕过加密保护机制。(CVE-2014-1491)

USN-2102-1 修复了 Firefox 中的漏洞。该更新引入了一项回归，可在某些情况下导致 Firefox 崩溃。
此更新修复了该问题。

我们对不便之处表示抱歉。

Christian Holler、Terrence Cole、Jesse Ruderman、Gary Kwong、Eric Rescorla、Jonathan Kew、Dan Gohman、Ryan VanderMeulen、Carsten Book、Andrew Sutherland、Byron Campen、Nicholas Nethercote、Paul Adenot、David Baron、Julian Seward 和 Sotaro Ikeda 发现 Firefox 中存在多个内存安全问题。如果用户受到诱骗打开特别构建的网站，攻击者可能利用这些漏洞，通过应用程序崩溃造成拒绝服务，或者以调用 Firefox 的用户的权限执行任意代码。
（CVE-2014-1477、CVE-2014-1478）

Cody Crews 发现了绕过仅系统封装程序的方法。攻击者可能利用此漏洞窃据机密数据或以调用 Firefox 的用户的权限执行代码。(CVE-2014-1479)

Jordi Chancel 发现处理按钮操作之前，下载对话框未实现安全超时。攻击者可能利用此缺陷执行点击劫持攻击。(CVE-2014-1480)

Fredrik Lönnqvist 在 Firefox 中发现释放后使用。
攻击者可能利用此漏洞通过应用程序崩溃造成拒绝服务，或以调用 Firefox 的用户的权限执行任意代码。
(CVE-2014-1482)

Jordan Milne 在跨源 iframe 中使用 document.elementFromPoint 和 document.caretPositionFromPoint 时发现了一个时序缺陷。攻击者可能利用此缺陷窃取机密信息。(CVE-2014-1483)

Frederik Braun 发现 Firefox 中的 CSP 实现不按照规范处理 XSLT 样式表，因此在某些情况下可能导致意外执行脚本 (CVE-2014-1485)

Arthur Gerkis 在 Firefox 中发现释放后使用。攻击者可能利用此漏洞通过应用程序崩溃造成拒绝服务，或以调用 Firefox 的用户的权限执行任意代码。
(CVE-2014-1486)

Masato Kinugawa 在 Web 工作线程错误消息中发现跨源信息泄漏。攻击者可能利用此漏洞窃取机密信息。
(CVE-2014-1487)

Yazan Tommalieh 发现在某些情况下，网页可激活默认 Firefox 起始页 (about:home) 上的按钮。攻击者可能利用此漏洞，通过触发会话恢复造成数据丢失。
(CVE-2014-1489)

Soeren Balko 发现在某些情况下终止运行 asm.js 代码的 Web 工作线程时，Firefox 中发生崩溃。攻击者可能利用该漏洞，以调用 Firefox 的用户的权限执行任意代码。
(CVE-2014-1488)

发现 NSS 中的票证处理存在多种问题。
攻击者可能利用这些问题造成拒绝服务，或者绕过加密保护机制。（CVE-2014-1490、CVE-2014-1491）

Boris Zbarsky 发现，在某些情况下，可绕过窗口对象的安全限制。(CVE-2014-1481)。

安装的 Firefox 版本低于 27.0，因此可能受到以下漏洞的影响：

- 浏览器引擎存在内存问题，可能导致拒绝服务或执行任意代码。（CVE-2014-1477、CVE-2014-1478）

- 存在关于仅系统封装程序 (SOW) 和 XML 绑定语言 (XBL) 的错误，可能允许泄露 XUL 内容。(CVE-2014-1479)

- 存在关于“打开文件”对话框的错误，可能允许用户执行非预期操作。
 (CVE-2014-1480)

- 存在关于 JavaScript 引擎和“窗口”对象处理的错误，可能产生不明影响。
 (CVE-2014-1481)

- 存在关于“RasterImage”和图像解码的错误，可能造成应用程序崩溃，并可能执行任意代码。(CVE-2014-1482)

- 存在关于 IFrame、“document.caretPositionFromPoint”和“document.elementFromPoint”的错误，可能允许跨源信息泄露。(CVE-2014-1483)

- 存在关于内容安全策略 (CSP) 和 XSLT 样式表的错误，可能允许非预期的脚本执行。(CVE-2014-1485)

- 存在关于图像处理和“imgRequestProxy”的释放后使用错误，可能造成应用程序崩溃，并可能执行任意代码。
 (CVE-2014-1486)

- 存在关于“Web 工作线程”的错误，可能允许跨源信息泄露。
 (CVE-2014-1487)

- 存在关于“Web 工作线程”和“asm.js”的错误，可能允许应用程序崩溃并可能执行任意代码。(CVE-2014-1488)

- 存在错误，可能允许网页访问“about:home”页面中的活动内容，从而导致数据丢失。(CVE-2014-1489)

- 网络安全服务 (NSS) 在 libssl 中包含争用条件，会话票证处理过程中会出现这种情况。远程攻击者可利用此缺陷引起拒绝服务。(CVE-2014-1490)

- 网络安全服务 (NSS) 在 Diffie-Hellman 密钥交换时没有正确限制公共值，导致远程攻击者可绕过加密保护机制。(CVE-2014-1491)

安装的 SeaMonkey 版本低于 2.24，因此可能受到以下漏洞的影响：

- 浏览器引擎存在内存问题，可能导致拒绝服务或执行任意代码。（CVE-2014-1477、CVE-2014-1478）

- 存在关于仅系统封装程序 (SOW) 和 XML 绑定语言 (XBL) 的错误，可能允许泄露 XUL 内容。(CVE-2014-1479)

- 存在关于“打开文件”对话框的错误，可能允许用户执行非预期操作。
 (CVE-2014-1480)

- 存在关于 JavaScript 引擎和“窗口”对象处理的错误，可能产生不明影响。
 (CVE-2014-1481)

- 存在关于“RasterImage”和图像解码的错误，可能造成应用程序崩溃，并可能执行任意代码。(CVE-2014-1482)

- 存在关于 IFrame、“document.caretPositionFromPoint”和“document.elementFromPoint”的错误，可能允许跨源信息泄露。(CVE-2014-1483)

- 存在关于内容安全策略 (CSP) 和 XSLT 样式表的错误，可能允许非预期的脚本执行。(CVE-2014-1485)

- 存在关于图像处理和“imgRequestProxy”的释放后使用错误，可能造成应用程序崩溃，并可能执行任意代码。
 (CVE-2014-1486)

- 存在关于“Web 工作线程”的错误，可能允许跨源信息泄露。
 (CVE-2014-1487)

- 存在关于“Web 工作线程”和“asm.js”的错误，可能允许应用程序崩溃并可能执行任意代码。(CVE-2014-1488)

- 网络安全服务 (NSS) 在 libssl 中包含争用条件，会话票证处理过程中会出现这种情况。远程攻击者可利用此缺陷引起拒绝服务。(CVE-2014-1490)

- 网络安全服务 (NSS) 在 Diffie-Hellman 密钥交换时没有正确限制公共值，导致远程攻击者可绕过加密保护机制。(CVE-2014-1491)

Mozilla 项目报告：

MFSA 2014-01 多项内存安全危害 (rv:27.0 / rv:24.3)

MFSA 2014-02 克隆具有 XBL 范围的受保护内容

MFSA 2014-03 下载提示缺少 UI 选择超时

MFSA 2014-04 RasterImage 未正确使用已丢弃的图像

MFSA 2014-05 iframe 上 *FromPoint 的信息泄露

MFSA 2014-06 配置文件路径泄漏到 Android 系统日志

MFSA 2014-07 被视为内容安全策略中的样式的 XSLT 样式表

MFSA 2014-08 imgRequestProxy 和图像处理的释放后使用

MFSA 2014-09 通过 Web 工作线程造成的跨源信息泄漏

MFSA 2014-10 脚本可调用的 Firefox 默认起始页 UI 内容

MFSA 2014-11 将 Web 工作线程用于 asm.js 时的崩溃

MFSA 2014-12 NSS 票证处理问题

MFSA 2014-13 对访问 Window 对象不一致的 JavaScript 处理

此更新将 Mozilla Firefox 浏览器更新到 24.3.0ESR 安全版本。Mozilla NSS 库现在处于版本 3.15.4 上。

修复了以下安全问题：

- Firefox ESR 24.3 和 Firefox 27.0 中已修复内存安全缺陷 (CVE-2014-1477)(bnc#862345)。(MFSA 2014-01)

- 使用 XBL 范围可以窃取（克隆）本机匿名内容 (CVE-2014-1479)(bnc#862348)。(MFSA 2014-02)

- 下载“open file”对话框延迟过快，未阻止点击劫持。(CVE-2014-1480)。(MFSA 2014-03)

- Goo Create 的图像解码导致 FireFox 崩溃 (CVE-2014-1482)(bnc#862356)。(MFSA 2014-04)

- caretPositionFromPoint 和 elementFromPoint 通过定时信息泄漏关于 iframe 内容的信息 (CVE-2014-1483)(bnc#862360)。(MFSA 2014-05)

- Fennec 将配置文件路径泄漏给 logcat。(CVE-2014-1484)。
 (MFSA 2014-06)

- CSP 应将 XSLT 作为脚本而不是样式来阻断。
 (CVE-2014-1485)。(MFSA 2014-07)

- imgRequestProxy 释放后使用远程代码执行漏洞。(CVE-2014-1486)。(MFSA 2014-08)

- Web 工作线程错误消息导致的跨源信息泄露。(CVE-2014-1487)。(MFSA 2014-09)

- 设置和历史记录 ID 缺陷。(CVE-2014-1489)。(MFSA 2014-10)

- 当在工作线程和可传输对象中使用 asm.js 代码时，Firefox 出现可再现的崩溃。(CVE-2014-1488)。(MFSA 2014-11)

- TOCTOU，libssl 的会话票证处理中潜在的释放后使用 (CVE-2014-1490)(bnc#862300) 不允许 p-1 作为公共 DH 值 (CVE-2014-1491)(bnc#862289)。(MFSA 2014-12)

- 当在窗口上调用 getter 时此值不一致 (CVE-2014-1481)(bnc#862309)。(MFSA 2014-13)

远程主机受到 GLSA-201504-01 中所述漏洞的影响（Mozilla 产品：多个漏洞）

    在 Firefox、Thunderbird 和 SeaMonkey 中发现多种漏洞。请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    远程攻击者可引诱用户查看特别构建的网页或电子邮件，这可能导致执行任意代码或拒绝服务的情况。此外，远程攻击者可能可以执行中间人攻击、获取敏感信息、欺骗地址栏、执行点击劫持攻击、绕过安全限制和保护机制，或造成其他不明影响。
  变通方案：

    目前尚无已知的变通方案。

Mozilla Firefox 更新到了版本 27。Mozilla SeaMonkey 已更新至 2.24，修复了与 Firefox 27 类似的问题。Mozilla Thunderbird 已更新至 24.3.0，修复了与 Firefox 27 类似的问题。

Firefox 27 版本引入了 TLS 1.2 支持，将其作为一项主要安全功能。

它还修复了以下安全问题：

- MFSA 2014-01/CVE-2014-1477/CVE-2014-1478 多项内存安全危害 (rv:27.0 / rv:24.3)

- MFSA 2014-02/CVE-2014-1479 (bmo#911864) 克隆具有 XBL 范围的受保护内容

- MFSA 2014-03/CVE-2014-1480 (bmo#916726) 下载提示中缺少 UI 选择超时

- MFSA 2014-04/CVE-2014-1482 (bmo#943803) 未正确使用 RasterImage 丢弃的图像

- MFSA 2014-05/CVE-2014-1483 (bmo#950427) iframes 中的 *FromPoint 存在信息泄露

- MFSA 2014-06/CVE-2014-1484 (bmo#953993) 配置文件路径泄漏到 Android 系统日志

- MFSA 2014-07/CVE-2014-1485 (bmo#910139) XSLT 样式表在内容安全策略中处理为样式

- MFSA 2014-08/CVE-2014-1486 (bmo#942164) imgRequestProxy 和图像处理的释放后使用

- MFSA 2014-09/CVE-2014-1487 (bmo#947592) 通过 Web 工作发生的跨源信息泄漏

- MFSA 2014-10/CVE-2014-1489 (bmo#959531) Firefox 默认启动页 UI 内容可由脚本调用

- MFSA 2014-11/CVE-2014-1488 (bmo#950604) Web 工作与 asm.js 一起使用时发生崩溃

- MFSA 2014-12/CVE-2014-1490/CVE-2014-1491（bmo#934545、bmo#930874、bmo#930857）NSS 票证处理问题

- MFSA 2014-13/CVE-2014-1481(bmo#936056) Window 对象访问权限的不一致 JavaScript 处理

Mozilla NSS 已更新到 3.15.4：

- Firefox 27 所需

- 常规 CA 根存储更新 (1.96)

- 重构了 SSL/TLS 客户端 hello 消息中提供的加密套件，以匹配现代最佳实践。

- 改进了 SSL/TLS 假启动。除了启用 SSL_ENABLE_FALSE_START 选项之外，应用程序现在还必须使用 SSL_SetCanFalseStartCallback 函数注册回调。

- 当启用假启动时，libssl 有时会返回来自 PR_Recv 的未加密且未经认证的数据（CVE-2013-1740、bmo#919877）

- MFSA 2014-12/CVE-2014-1490/CVE-2014-1491 NSS 票证处理问题 新功能

- 使用 HTTP GET 方法实现了 OCSP 查询，这是新的默认方法，但将回退到 HTTP POST 方法。

- 实现了用于测试的 OCSP 服务器功能（httpserv 实用工具）。

- 支持使用 TLS 1.2 客户端认证的 SHA-1 签名。

- 在 certutil 中新增了 --empty-password 命令行选项，要与 -N 一起使用：创建新数据库时使用空密码。

- 在 pp 中新增了 -w 命令行选项：不封装长输出行。

Christian Holler、Terrence Cole、Jesse Ruderman、Gary Kwong、Eric Rescorla、Jonathan Kew、Dan Gohman、Ryan VanderMeulen、Carsten Book、Andrew Sutherland、Byron Campen、Nicholas Nethercote、Paul Adenot、David Baron、Julian Seward 和 Sotaro Ikeda 发现 Firefox 中存在多个内存安全问题。如果用户受到诱骗打开特别构建的网站，攻击者可能利用这些漏洞，通过应用程序崩溃造成拒绝服务，或者以调用 Firefox 的用户的权限执行任意代码。
（CVE-2014-1477、CVE-2014-1478）

Cody Crews 发现了绕过仅系统封装程序的方法。攻击者可能利用此漏洞窃据机密数据或以调用 Firefox 的用户的权限执行代码。
(CVE-2014-1479)

Jordi Chancel 发现处理按钮操作之前，下载对话框未实现安全超时。攻击者可能利用此缺陷执行点击劫持攻击。
(CVE-2014-1480)

Fredrik Lönnqvist 在 Firefox 中发现释放后使用。攻击者可能利用此漏洞通过应用程序崩溃造成拒绝服务，或以调用 Firefox 的用户的权限执行任意代码。(CVE-2014-1482)

Jordan Milne 在跨源 iframe 中使用 document.elementFromPoint 和 document.caretPositionFromPoint 时发现了一个时序缺陷。攻击者可能利用此缺陷窃取机密信息。(CVE-2014-1483)

Frederik Braun 发现 Firefox 中的 CSP 实现不按照规范处理 XSLT 样式表，因此在某些情况下可能导致意外执行脚本 (CVE-2014-1485)

Arthur Gerkis 在 Firefox 中发现释放后使用。攻击者可能利用此漏洞通过应用程序崩溃造成拒绝服务，或以调用 Firefox 的用户的权限执行任意代码。(CVE-2014-1486)

Masato Kinugawa 在 Web 工作线程错误消息中发现跨源信息泄漏。攻击者可能利用此漏洞窃取机密信息。(CVE-2014-1487)

Yazan Tommalieh 发现在某些情况下，网页可激活默认 Firefox 起始页 (about:home) 上的按钮。攻击者可能利用此漏洞，通过触发会话恢复造成数据丢失。(CVE-2014-1489)

Soeren Balko 发现在某些情况下终止运行 asm.js 代码的 Web 工作线程时，Firefox 中发生崩溃。攻击者可能利用该漏洞，以调用 Firefox 的用户的权限执行任意代码。(CVE-2014-1488)

发现 NSS 中的票证处理存在多种问题。攻击者可能利用这些问题造成拒绝服务，或者绕过加密保护机制。（CVE-2014-1490、CVE-2014-1491）

Boris Zbarsky 发现，在某些情况下，可绕过窗口对象的安全限制。(CVE-2014-1481)。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
72328	Firefox < 27.0 多种漏洞 (Mac OS X)	Nessus	MacOS X Local Security Checks	2014/2/5	2019/11/26	critical
72598	Ubuntu 12.04 LTS / 12.10 / 13.10：firefox 回归 (USN-2102-2)	Nessus	Ubuntu Local Security Checks	2014/2/20	2021/1/19	critical
72331	Firefox < 27.0 多种漏洞	Nessus	Windows	2014/2/5	2019/11/26	critical
72333	SeaMonkey < 2.24 多种漏洞	Nessus	Windows	2014/2/5	2019/11/26	critical
72312	FreeBSD：mozilla -- 多种漏洞 (1753f0ff-8dd5-11e3-9b45-b4b52fce4ce8)	Nessus	FreeBSD Local Security Checks	2014/2/5	2021/1/6	critical
72554	SuSE 11.3 安全更新：MozillaFirefox（SAT 修补程序编号 8879）	Nessus	SuSE Local Security Checks	2014/2/18	2021/1/19	critical
82632	GLSA-201504-01 ：Mozilla 产品：多个漏洞	Nessus	Gentoo Local Security Checks	2015/4/8	2021/1/11	critical
75253	openSUSE 安全更新：firefox / seamonkey / thunderbird (openSUSE-SU-2014:0212-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	critical
72425	Ubuntu 12.04 LTS / 12.10 / 13.10：firefox 漏洞 (USN-2102-1)	Nessus	Ubuntu Local Security Checks	2014/2/11	2021/1/19	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical

critical