远程 Windows 主机上安装的 Firefox 版本低于 46。因此，它受到多种漏洞的影响：

- 存在多种内存损坏问题，远程攻击者可利用此类问题造成内存损坏，从而导致执行任意代码。（CVE-2016-2804、CVE-2016-2806、CVE-2016-2807）

- 存在一个缺陷，这是因为在处理底层 HashMap 的 32 位生成计数时，不当验证用户提供的输入所导致。上下文有关的攻击者可利用此缺陷，造成缓冲区溢出情况，进而导致拒绝服务或执行任意代码。(CVE-2016-2808)

- Maintenance Service 更新程序中存在一个本地权限升级漏洞，这是因为不当处理长日志文件路径所导致。本地攻击者可利用此漏洞，删除任意文件和获取提升的权限。
 (CVE-2016-2809)

- 存在一个因 BeginReading() 函数中释放后使用错误而导致的远程代码执行漏洞。上下文有关的攻击者可利用此问题取消引用已经释放的内存，进而导致执行任意代码。(CVE-2016-2811)

- 由于 get() 函数的 ServiceWorkerManager 存在一个争用条件，导致存在一个远程代码执行漏洞。上下文有关的攻击者可利用此漏洞执行任意代码。(CVE-2016-2812)

- Google Stagefright 组件中存在一个堆缓冲区溢出情况，这是因为在处理 CENC 偏移和大小表时，不当验证用户提供的输入所导致。上下文有关的攻击者可利用此问题，造成拒绝服务或执行任意代码。(CVE-2016-2814)

- 由于内容安全策略 (CSP) 未正确应用到随“multipart/x-mixed-replace”MIME-type 发送的 Web 内容，导致存在一个安全绕过漏洞。上下文有关的攻击者可利用此漏洞绕过 CSP 保护。(CVE-2016-2816)

- 由于未正确限制无权限的“javascript: URL”导航，导致存在一个跨站脚本 (XSS) 漏洞。上下文有关的攻击者可利用此漏洞，通过特别构建的请求，在用户浏览器会话上下文中执行任意脚本代码。(CVE-2016-2817)

- Firefox 健康状况报告存在一个缺陷，当接收任何以其 iframe 呈现的内容文档事件时，便会触发该缺陷。上下文有关的攻击者可利用此漏洞操控共享首选项。(CVE-2016-2820)

此 Mozilla Firefox 46.0 更新修复了多个安全问题和缺陷 (boo#977333)。

修复了以下漏洞：

- CVE-2016-2804：其他内存安全危害 - MFSA 2016-39 (boo#977373)

- CVE-2016-2806：其他内存安全危害 - MFSA 2016-39 (boo#977375)

- CVE-2016-2807：其他内存安全危害 - MFSA 2016-39 (boo#977376)

- CVE-2016-2808：通过 JavaScript.watch() 写入无效的 HashMap 条目

- MFSA 2016-47 (boo#977386)

- CVE-2016-2811：服务工作线程中的释放后使用 - MFSA 2016-42 (boo#977379)

- CVE-2016-2812：服务工作线程中的缓冲区溢出 - MFSA 2016-42 (boo#977379)

- CVE-2016-2814：libstagefright 中因 CENC 偏移发生的缓冲区溢出 - MFSA 2016-44 (boo#977381)

- CVE-2016-2816：CSP 未应用到通过 multipart/x-mixed-replace 发送的页面 - MFSA 2016-45 (boo#977382)

- CVE-2016-2817：通过 Web 扩展中的 chrome.tabs.update API 提升权限 - MFSA 2016-46 (boo#977384)

- CVE-2016-2820：Firefox 健康状况报告可接收来自不受信任域的事件 - MFSA 2016-48 (boo#977388)

包含以下其他变更：

- 提高了 JavaScript Just In Time (JIT) 编译器的安全性

- WebRTC 补丁可改善性能和稳定性

- 添加了对 document.elementsFromPoint 的支持

- 添加了对 Web Crypto API 的 HKDF 支持

最低要求提高为 NSPR 4.12 和 NSS 3.22.3。

作为 Mozilla Firefox 46.0 的依赖项，Mozilla NSS 已更新到 3.22.3，包含以下变更：

- 提高 TLS 扩展主密钥的兼容性，不在握手结束前发送空 TLS 扩展 (bmo#1243641)

- 现在支持 RSA-PSS 签名

- 现在支持基于哈希而不是 SHA-1 的伪随机函数

- 在 NSS 上强制执行来自配置文件的外部策略

远程主机受到 GLSA-201701-15 中所述漏洞的影响（Mozilla Firefox、Thunderbird：多个漏洞）在 Mozilla Firefox 与 Thunderbird 中发现多个漏洞。请检查下面引用的 CVE 标识符以了解详细信息。影响：远程攻击者可能以进程的权限执行任意代码，或者通过多个向量造成拒绝服务情况。解决方法：目前无任何已知的解决方法。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
90793	Firefox < 46 多种漏洞	Nessus	Windows	2016/4/29	2019/11/20	high
91069	openSUSE 安全更新：Firefox (openSUSE-2016-566)	Nessus	SuSE Local Security Checks	2016/5/12	2021/1/19	high
96276	GLSA-201701-15：Mozilla Firefox、Thunderbird：多个漏洞 (SWEET32)	Nessus	Gentoo Local Security Checks	2017/1/4	2023/6/22	critical

检测

插件搜索

high

high

critical