Mozilla Firefox web 浏览器中发现多个安全问题，可能会造成执行任意代码、权限提升和信息泄露。对于 Debian 8“Jessie”，这些问题已在 60.3.0esr-1~deb8u1 版本中修复。建议您升级 firefox-esr 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

此更新将 Firefox 升级到版本 60.3.0 ESR。安全修复：- Mozilla：Firefox 63 和 Firefox ESR 60.3 中的内存安全缺陷已修复 (CVE-2018-12390) - Mozilla：嵌套事件循环崩溃 (CVE-2018-12392) - Mozilla：在 Unicode 转换加载 JavaScript 过程中存在整数溢出 (CVE-2018-12393) - Mozilla：通过标头重写，导致域限制的 WebExtension 绕过 (CVE-2018-12395) - Mozilla：可在禁用环境中执行 WebExtension 内容脚本 (CVE-2018-12396) - Mozilla：WebExtension 本地文件权限检查绕过 (CVE-2018-12397) - Mozilla：Firefox ESR 60.3 中的内存安全错误已修复 (CVE-2018-12389) 缺陷修复：- 此前，当退出 Firefox 时，通过主密码加密的 Firefox 浏览器保存的密码会遭清除。此更新确保用于解密存储登录数据的 NSS 文件得到正确处理。因此，重启 Firefox 后，受影响的密码不会再丢失。

远程 Windows 主机上安装的 Mozilla Firefox 版本低于 63。因而会受到多个漏洞的影响：- 在 Android 的 Firefox 上进行 HTTP 直播流重放期间，可在违反安全策略的情况下跨源访问音频数据。由于该问题处于 Android 服务底层，所以通过处理所有 HLS 流为跨源并隐藏访问以解决该问题。*请注意：该问题仅影响 Android Firefox。Firefox 的桌面版本不受影响。*(CVE-2018-12391) - 通过脚本打开文档操纵嵌套循环中的用户事件时，由于事件处理不当可触发可遭利用的崩溃。(CVE-2018-12392) - 在 32 位构建中发现一个潜在漏洞，即在脚本转换为内部 UTF-16 表达期间整数溢出可导致分配缓冲区较小，无法进行转换。此漏洞可导致越界写入。*注意：64 位构建不易受到此问题影响。*(CVE-2018-12393) - 通过使用 webRequest API 重写主机请求标头，WebExtension 可通过域前端绕过域限制。这将允许其访问共享主机的域，否则这些域将受到限制。(CVE-2018-12395) - 在以下导航或其他事件的禁用环境下存在 WebExtension 可运行内容脚本漏洞。这允许站点上的 WebExtension 可能在不应该运行的内容脚本上进行权限升级。(CVE-2018-12396) - WebExtension 可请求访问本地文件而不会及时出现警告声称，'Access your data for all websites'显示给用户。这允许扩展在本地页运行内容脚本，当打开本地文件时不会出现权限警告。(CVE-2018-12397) - 通过在某些特殊资源 URI 中使用反射性 URL，如 chrome:，可注入 stylesheets 并绕过内容安全策略 (CSP)。(CVE-2018-12398) - 当注册新的协议处理程序时，API 接受用于误导用户哪个域正在注册新协议的标题参数。这可能导致用户批准未注册的协议处理程序。(CVE-2018-12399) - 在适用于 Android 的 Firefox 个人浏览模式中，favicon 以非个人浏览模式存储在 cache/icons 文件夹中。这允许个人浏览会话期间，访问站点的信息泄露。*注意：此问题仅影响适用于 Android 的 Firefox 。Firefox 的桌面版本不受影响。*(CVE-2018-12400) - 如果在解析字符串中的'?'之后加载 optional 参数，某些特殊资源 URI 将导致不可利用的崩溃。这可导致拒绝服务 (DOS) 攻击。(CVE-2018-12401) - 当选择'Save Page As...'菜单项保存页面时，针对跨域请求发送 SameSite cookie，违背 cookie 策略。这可导致保存基于这些 cookie 的错误资源版本。(CVE-2018-12402) - 如果通过 HTTPS 连接加载站点，但通过 HTTP 加载 favicon 资源，则不会向用户显示混合内容警告。(CVE-2018-12403) - Mozilla 开发人员和社区成员 Christian Holler、Dana Keeler、Ronald Crane、Marcia Knous、Tyson Smith、Daniel Veditz 以及 Steve Fink 报告 Firefox 62 中存在内存安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。(CVE-2018-12388) - Mozilla 开发人员、社区成员 Christian Holler、Bob Owen、Boris Zbarsky、Calixte Denizet、Jason Kratzer、Jed Davis、Taegeon Lee、Philipp、Ronald Crane、Raul Gurzau、Gary Kwong、Tyson Smith、Raymond Forbes 和 Bogdan Tara 报告 Firefox 62 和 Firefox ESR 60.2 中存在内存安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。(CVE-2018-12390) 请注意，Nessus 并不试图利用这些问题，而只依赖于应用程序自我报告的版本号。

远程 macOS 主机上安装的 Mozilla Firefox ESR 版本低于 60.3。因而会受到多个漏洞的影响：- 在适用于 Android 的 Firefox 播放 HTTP Live Stream 期间，可违背安全政策跨源访问音频数据。由于此问题存在于 Android 服务底层，所以通过将 HLS 流视为跨源和不透明访问处理该问题。*注意：此问题仅影响适用于 Android 的 Firefox 。Firefox 的桌面版本不受影响。*(CVE-2018-12391) - 通过脚本打开文档操纵嵌套循环中的用户事件时，由于事件处理不当可触发可遭利用的崩溃。(CVE-2018-12392) - 在 32 位构建中发现一个潜在漏洞，即在脚本转换为内部 UTF-16 表达期间整数溢出可导致分配缓冲区较小，无法进行转换。此漏洞可导致越界写入。*注意：64 位构建不易受到此问题影响。*(CVE-2018-12393) - 通过使用 webRequest API 重写主机请求标头，WebExtension 可通过域前端绕过域限制。这将允许其访问共享主机的域，否则这些域将受到限制。(CVE-2018-12395) - 在以下导航或其他事件的禁用环境下存在 WebExtension 可运行内容脚本漏洞。这允许站点上的 WebExtension 可能在不应该运行的内容脚本上进行权限升级。(CVE-2018-12396) - WebExtension 可请求访问本地文件而不会及时出现警告声称，'Access your data for all websites'显示给用户。这允许扩展在本地页运行内容脚本，当打开本地文件时不会出现权限警告。(CVE-2018-12397) - Mozilla 开发人员、社区成员 Daniel Veditz 和 Philipp 报告 Firefox ESR 60.2 中存在内存安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。(CVE-2018-12389) - Mozilla 开发人员、社区成员 Christian Holler、Bob Owen、Boris Zbarsky、Calixte Denizet、Jason Kratzer、Jed Davis、Taegeon Lee、Philipp、Ronald Crane、Raul Gurzau、Gary Kwong、Tyson Smith、Raymond Forbes 和 Bogdan Tara 报告 Firefox 62 和 Firefox ESR 60.2 中存在内存安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。(CVE-2018-12390) 请注意，Nessus 并不试图利用这些问题，而只依赖于应用程序自我报告的版本号。

此更新将 Firefox 升级到版本 60.3.0 ESR。安全修复：- Mozilla：Firefox 63 和 Firefox ESR 60.3 中的内存安全缺陷已修复 (CVE-2018-12390) - Mozilla：嵌套事件循环崩溃 (CVE-2018-12392) - Mozilla：在 Unicode 转换加载 JavaScript 过程中存在整数溢出 (CVE-2018-12393) - Mozilla：通过标头重写，导致域限制的 WebExtension 绕过 (CVE-2018-12395) - Mozilla：可在禁用环境中执行 WebExtension 内容脚本 (CVE-2018-12396) - Mozilla：WebExtension 本地文件权限检查绕过 (CVE-2018-12397) - Mozilla：Firefox ESR 60.3 中的内存安全错误已修复 (CVE-2018-12389)

firefox 的更新现在可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Mozilla Firefox 是一个开源网页浏览器，设计满足标准合规、性能和可移植性要求。此更新将 Firefox 升级到版本 60.3.0 ESR。安全修复：* Mozilla：Firefox 63 和 Firefox ESR 60.3 中的内存安全缺陷已修复 (CVE-2018-12390) * Mozilla：嵌套事件循环崩溃 (CVE-2018-12392) * Mozilla：在 Unicode 转换加载 JavaScript 过程中存在整数溢出 (CVE-2018-12393) * Mozilla：通过标头重写，导致域限制的 WebExtension 绕过 (CVE-2018-12395) * Mozilla：可在禁用环境中执行 WebExtension 内容脚本 (CVE-2018-12396) * Mozilla：WebExtension 本地文件权限检查绕过 (CVE-2018-12397) * Mozilla：Firefox ESR 60.3 中的内存安全缺陷已修复 (CVE-2018-12389) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。Red Hat 在此感谢 Mozilla 项目报告这些问题。上游感谢原始报告者 Christian Holler、Bob Owen、Boris Zbarsky、Calixte Denizet、Jason Kratzer、Jed Davis、Taegeon Lee、Philipp、Ronald Crane、Raul Gurzau、Gary Kwong、Tyson Smith、Raymond Forbes、Bogdan Tara、Nils、Rob Wu、Andrew Swan 和 Daniel Veditz。

在 Firefox 中发现多个安全问题。如果用户受到诱骗打开特别构建的网站，攻击者可利用这些问题造成拒绝服务、绕过 CSP 限制、欺骗协议注册通知栏、泄露 SameSite cookie、绕过混合内容警告或执行任意代码。(CVE-2018-12388, CVE-2018-12390, CVE-2018-12392, CVE-2018-12393, CVE-2018-12398, CVE-2018-12399, CVE-2018-12401, CVE-2018-12402, CVE-2018-12403)

在 Firefox 中的 WebExtensions 发现多个安全问题。如果用户受到诱骗安装特别构建的扩展，攻击者可利用这些问题绕过域限制、获取其他权限或在本地页运行内容脚本，无需权限。(CVE-2018-12395, CVE-2018-12396, CVE-2018-12397)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

USN-3801-1 修复了 Firefox 中的漏洞。此更新引入多种次要回归。此更新修复了这些问题。

我们对不便之处表示抱歉。

在 Firefox 中发现多个安全问题。如果用户受到诱骗打开特别构建的网站，攻击者可利用这些问题造成拒绝服务、绕过 CSP 限制、欺骗协议注册通知栏、泄露 SameSite cookie、绕过混合内容警告或执行任意代码。(CVE-2018-12388, CVE-2018-12390, CVE-2018-12392, CVE-2018-12393, CVE-2018-12398, CVE-2018-12399, CVE-2018-12401, CVE-2018-12402, CVE-2018-12403)

在 Firefox 中的 WebExtensions 发现多个安全问题。如果用户受到诱骗安装特别构建的扩展，攻击者可利用这些问题绕过域限制、获取其他权限或在本地页运行内容脚本，无需权限。(CVE-2018-12395, CVE-2018-12396, CVE-2018-12397)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

来自 Red Hat 安全公告 2018:3005： firefox 更新现可用于 Red Hat Enterprise Linux 7。 Red Hat 产品安全团队已将此更新评级为具有重大安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 Mozilla Firefox 是一个开源网页浏览器，设计满足标准合规、性能和可移植性要求。 此更新将 Firefox 升级到 60.3.0 ESR 版。 安全补丁： * Mozilla：在 Firefox 63 和 Firefox ESR 60.3 中修复了内存安全缺陷 (CVE-2018-12390) * Mozilla：嵌套事件循环崩溃 (CVE-2018-12392) * Mozilla：加载 JavaScript 时，Unicode 转换期间的整数溢出 (CVE-2018-12393) * Mozilla：通过标头重写，WebExtension 的域限制绕过 (CVE-2018-12395) * Mozilla：在不允许的上下文中可执行 WebExtension 内容脚本 (CVE-2018-12396) * Mozilla：WebExtension 本地文件权限检查绕过 (CVE-2018-12397) * Mozilla：在 Firefox ESR 60.3 中修复了内存安全缺陷 (CVE-2018-12389) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。 Red Hat 在此感谢 Mozilla 项目报告这些问题。上游感谢原始报告者 Christian Holler、Bob Owen、Boris Zbarsky、Calixte Denizet、Jason Kratzer、Jed Davis、Taegeon Lee、Philipp、Ronald Crane、Raul Gurzau、Gary Kwong、Tyson Smith、Raymond Forbes、Bogdan Tara、Nils、r、Rob Wu、Andrew Swan 和 Daniel Veditz。 缺陷补丁： * 之前，退出 Firefox 时会删除保存在 Firefox 浏览器中并由主密码加密的密码。此更新确保正确处理用于解密存储登录数据的 NSS 文件。因此，重启 Firefox 后不会再丢失受影响的密码。(BZ#1638082)

远程 Windows 主机上安装的 Mozilla Firefox ESR 版本低于 60.3。因而会受到多个漏洞的影响：- 在 Android 的 Firefox 上进行 HTTP 直播流重放期间，可在违反安全策略的情况下跨源访问音频数据。由于该问题处于 Android 服务底层，所以通过处理所有 HLS 流为跨源并隐藏访问以解决该问题。*请注意：该问题仅影响 Android Firefox。Firefox 的桌面版本不受影响。*(CVE-2018-12391) - 通过脚本打开文档操纵嵌套循环中的用户事件时，由于事件处理不当可触发可遭利用的崩溃。(CVE-2018-12392) - 在 32 位构建中发现一个潜在漏洞，即在脚本转换为内部 UTF-16 表达期间整数溢出可导致分配缓冲区较小，无法进行转换。此漏洞可导致越界写入。*注意：64 位构建不易受到此问题影响。*(CVE-2018-12393) - 通过使用 webRequest API 重写主机请求标头，WebExtension 可通过域前端绕过域限制。这将允许其访问共享主机的域，否则这些域将受到限制。(CVE-2018-12395) - 在以下导航或其他事件的禁用环境下存在 WebExtension 可运行内容脚本漏洞。这允许站点上的 WebExtension 可能在不应该运行的内容脚本上进行权限升级。(CVE-2018-12396) - WebExtension 可请求访问本地文件而不会及时出现警告声称，'Access your data for all websites'显示给用户。这允许扩展在本地页运行内容脚本，当打开本地文件时不会出现权限警告。(CVE-2018-12397) - Mozilla 开发人员、社区成员 Daniel Veditz 和 Philipp 报告 Firefox ESR 60.2 中存在内存安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。(CVE-2018-12389) - Mozilla 开发人员、社区成员 Christian Holler、Bob Owen、Boris Zbarsky、Calixte Denizet、Jason Kratzer、Jed Davis、Taegeon Lee、Philipp、Ronald Crane、Raul Gurzau、Gary Kwong、Tyson Smith、Raymond Forbes 和 Bogdan Tara 报告 Firefox 62 和 Firefox ESR 60.2 中存在内存安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。(CVE-2018-12390) 请注意，Nessus 并不试图利用这些问题，而只依赖于应用程序自我报告的版本号。

来自 Red Hat 安全公告 2018:3006： firefox 更新现可用于 Red Hat Enterprise Linux 6。 Red Hat 产品安全团队已将此更新评级为具有重大安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 Mozilla Firefox 是一个开源网页浏览器，设计满足标准合规、性能和可移植性要求。 此更新将 Firefox 升级到 60.3.0 ESR 版。 安全补丁： * Mozilla：在 Firefox 63 和 Firefox ESR 60.3 中修复了内存安全缺陷 (CVE-2018-12390) * Mozilla：嵌套事件循环崩溃 (CVE-2018-12392) * Mozilla：加载 JavaScript 时，Unicode 转换期间的整数溢出 (CVE-2018-12393) * Mozilla：通过标头重写，WebExtension 的域限制绕过 (CVE-2018-12395) * Mozilla：在不允许的上下文中可执行 WebExtension 内容脚本 (CVE-2018-12396) * Mozilla：WebExtension 本地文件权限检查绕过 (CVE-2018-12397) * Mozilla：在 Firefox ESR 60.3 中修复了内存安全缺陷 (CVE-2018-12389) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。 Red Hat 在此感谢 Mozilla 项目报告这些问题。上游感谢原始报告者 Christian Holler、Bob Owen、Boris Zbarsky、Calixte Denizet、Jason Kratzer、Jed Davis、Taegeon Lee、Philipp、Ronald Crane、Raul Gurzau、Gary Kwong、Tyson Smith、Raymond Forbes、Bogdan Tara、Nils、r、Rob Wu、Andrew Swan 和 Daniel Veditz。

运行版本 CORE 5.04 / MAIN 5.04 的远程 NewStart CGSL 主机安装有受多个漏洞影响的 firefox 程序包：- 在动态调整 canvas 元素高度和宽度的同时渲染 canvas 内容时，发生缓冲区溢出，导致在当前计算的边界之外写入数据。这会导致潜在可利用的崩溃。此漏洞会影响 Thunderbird < 60、Thunderbird < 52.9、Firefox ESR < 60.1、Firefox ESR < 52.9 和 Firefox < 61。(CVE-2018-12359) - 由专注于该元素触发的变动事件处理程序期间，当删除输入元素时，可出现释放后使用漏洞。这会导致潜在可利用的崩溃。此漏洞会影响 Thunderbird < 60、Thunderbird < 52.9、Firefox ESR < 60.1、Firefox ESR < 52.9 和 Firefox < 61。(CVE-2018-12360) - 在 Supplemental Streaming SIMD Extensions 3 (SSSE3) 定标器完成的图形操作期间，出现整数溢出，造成潜在可利用崩溃。此漏洞会影响 Thunderbird < 60、Thunderbird < 52.9、Firefox ESR < 60.1、Firefox ESR < 52.9 和 Firefox < 61。(CVE-2018-12362) - 当脚本使用变动事件在文档间移动 DOM 节点时，可发生释放后使用漏洞，造成保存有节点的旧文档得到释放，但节点仍有引用其的指针。这会导致潜在可利用的崩溃。此漏洞会影响 Thunderbird < 60、Thunderbird < 52.9、Firefox ESR < 60.1、Firefox ESR < 52.9 和 Firefox < 61。(CVE-2018-12363) - NPAPI 插件（例如 Adobe Flash）可发送 non-simple 跨源请求，通过发出向目标站点进行 307 重定向的同源 POST 绕过 CORS。这会允许恶意站点实施跨站请求伪造 (CSRF) 攻击。此漏洞会影响 Thunderbird < 60、Thunderbird < 52.9、Firefox ESR < 60.1、Firefox ESR < 52.9 和 Firefox < 61。(CVE-2018-12364) - 遭入侵的 IPC 子进程可逃脱内容沙箱，列出文件系统上的任意文件的名称而无需用户同意或进行互动。这会导致暴露私有本地文件。此漏洞会影响 Thunderbird < 60、Thunderbird < 52.9、Firefox ESR < 60.1、Firefox ESR < 52.9 和 Firefox < 61。(CVE-2018-12365) - QCMS（颜色配置文件）转变期间的无效网格大小可导致越界读取被解释为浮点值。这会将隐私数据泄露到输出。此漏洞会影响 Thunderbird < 60、Thunderbird < 52.9、Firefox ESR < 60.1、Firefox ESR < 52.9 和 Firefox < 61。(CVE-2018-12366) - 在变更媒体源类型时捕获媒体流发生的漏洞会随捕获出现。这可能导致流数据转换到错误类型，造成潜在可利用崩溃。此漏洞会影响 Thunderbird < 60、Firefox ESR < 60.1、Firefox ESR < 52.9 和 Firefox < 61。(CVE-2018-5156) - Firefox 60、Firefox ESR 60 和 Firefox ESR 52.8 中已报告内存安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。此漏洞会影响 Thunderbird < 60、Thunderbird < 52.9、Firefox ESR < 60.1、Firefox ESR < 52.9 和 Firefox < 61。(CVE-2018-5188) - 在 67.0.3396.62 之前的 Google Chrome 的 Skia 中的准确性错误，允许远程攻击者通过构建的 HTML 页面执行越界内存写入。(CVE-2018-6126) - 在带有裁剪路径的 SVG 动画期间，当枚举属性时，会发生释放后使用漏洞。这会导致潜在可利用的崩溃。此漏洞会影响 Thunderbird < 52.8、Thunderbird ESR < 52.8、Firefox < 60 和 Firefox ESR < 52.8。(CVE-2018-5154) - 在带有文本路径的 SVG 动画期间，当调整布局时，出现释放后使用漏洞。这会导致潜在可利用的崩溃。此漏洞会影响 Thunderbird < 52.8、Thunderbird ESR < 52.8、Firefox < 60 和 Firefox ESR < 52.8。(CVE-2018-5155) - 可绕过 PDF 查看器的同源保护，允许恶意站点拦截针对该查看器的消息。这会允许站点检索在第三方网站上限于经身份验证的用户查看的 PDF 文件。该漏洞影响 Firefox ESR < 52.8 和 Firefox < 60。(CVE-2018-5157) - PDF 查看器并未充分审查 PostScript 计算器函数，允许恶意 JavaScript 通过构造的 PDF 文件进行注入。然后，此 JavaScript 可由其工作进程在 PDF 查看器的许可下运行。该漏洞影响 Firefox ESR < 52.8 和 Firefox < 60。(CVE-2018-5158) - 在 Skia 库中可能出现整数溢出，原因在于未检查整数溢出而在数组中使用 32 位整数，可能造成越界写入。这可能由 web 内容触发潜在可利用的崩溃。此漏洞会影响 Thunderbird < 52.8、Thunderbird ESR < 52.8、Firefox < 60 和 Firefox ESR < 52.8。(CVE-2018-5159) - 在 JavaScript 中从 UTF8 到 Unicode 字符串的转换过程中发现缓冲区溢出，其中包含大量数据。漏洞的出现需要使用恶意或易受攻击的旧版扩展。此漏洞会影响 Thunderbird ESR < 52.8、Thunderbird < 52.8 和 Firefox ESR < 52.8。(CVE-2018-5178) - Mozilla 开发人员在 Skia 库中向后移植了选定变更。此类变更校正了内存破坏问题，包括在图形操作期间的无效缓冲区读取和写入。此漏洞会影响 Thunderbird ESR < 52.8、Thunderbird < 52.8 和 Firefox ESR < 52.8。(CVE-2018-5183) - 在某些图形操作期间，当使用原始指针而非引用计数指针时，在合成器中可能出现释放后使用漏洞。这会导致潜在可利用的崩溃。该漏洞影响 Firefox ESR < 52.7.3 和 Firefox < 59.0.2。(CVE-2018-5148) - 当直接输入时，Reader Mode 未从地址栏中删除显示的 URL 用户名和密码部分。这可用于欺骗当前页面的域。此漏洞会影响 Firefox < 54。(CVE-2017-7762) - Firefox 61 和 Firefox ESR 60.1 中存在内存安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。该漏洞影响 Firefox < 62、Firefox ESR < 60.2 和 Thunderbird < 60.2.1。(CVE-2018-12376) - 在关机过程中，当仍在使用时删除计时器，在某些情况下刷新驱动程序定时器刷新时，可能会发生释放后使用漏洞。这会导致潜在可利用的崩溃。该漏洞影响 Firefox < 62、Firefox ESR < 60.2 和 Thunderbird < 60.2.1。(CVE-2018-12377) - 提供待储存负载值的 JavaScript 代码使用中的 IndexedDB 索引被删除时，可能会发生释放后使用漏洞。这会导致潜在可利用的崩溃。该漏洞影响 Firefox < 62、Firefox ESR < 60.2 和 Thunderbird < 60.2.1。(CVE-2018-12378) - Mozilla Updater 开启含有超长项目文件名的 MAR 格式文件时，可能会触发超出边界写入，进而导致可能遭到恶意利用的损毁。需在含有恶意 MAR 文件的本机系统上手动执行 Mozilla Updater 才会发生此状况。该漏洞影响 Firefox < 62、Firefox ESR < 60.2 和 Thunderbird < 60.2.1。(CVE-2018-12379) - 如果用户在 Firefox 58 之前保存了密码，之后再设置主密码，则仍可访问这些密码的未加密副本。这是因为将数据复制为 Firefox 58 中启动的新格式时，之前已存储的密码文件并未删除。系统只会将新的主密码添加到新文件。这可能会导致用户意料之外的已存储密码数据泄露情况。该漏洞影响 Firefox < 62、Firefox ESR < 60.2.1 和 Thunderbird < 60.2.1。(CVE-2018-12383) - JavaScript 中的寄存器分配漏洞可导致类型混淆，允许任意读取和写入。这会导致在触发时，沙箱型内容进程内的远程代码执行。该漏洞影响 Firefox ESR < 60.2.2 和 Firefox < 62.0.3。(CVE-2018-12386) - JavaScript JIT 编译器使用多个参数内联 Array.prototype.push 时存在漏洞，造成堆栈指针在 bailout 后偏离 8 个字节。这会泄露调用函数的内存地址，并可用于沙箱型内容进程内可利用的一部分。该漏洞影响 Firefox ESR < 60.2.2 和 Firefox < 62.0.3。(CVE-2018-12387) - 用含有 autofs 的 automount 功能可绕过 Firefox proxy 设置，进而可在本地文件系统上创建装入点。使用 `file:` URI 即可直接从此已装载文件系统加载内容，绕过已配置的 proxy 设置。该问题仅影响默认配置的 OS X；在 Linux 系统上，还必须安装 autofs 才会出现漏洞。(CVE-2017-16541) - Mozilla 开发人员、社区成员报告 Firefox ESR 60.2 中存在内存安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。该漏洞影响 Firefox ESR < 60.3 和 Thunderbird < 60.3。(CVE-2018-12389) - 通过脚本打开文档操纵嵌套循环中的用户事件时，由于事件处理不当可触发可遭利用的崩溃。该漏洞影响 Firefox < 63、Firefox ESR < 60.3 和 Thunderbird < 60.3。(CVE-2018-12392) - 通过使用 webRequest API 重写 Host: request 标头，WebExtension 可通过域前端绕过域限制。这将允许其访问共享主机的域，否则这些域将受到限制。该漏洞影响 Firefox ESR < 60.3 和 Firefox < 63。(CVE-2018-12395) - 在以下导航或其他事件的禁用环境下存在 WebExtension 可运行内容脚本漏洞。这允许站点上的 WebExtension 可能在不应该运行的内容脚本上进行权限升级。该漏洞影响 Firefox ESR < 60.3 和 Firefox < 63。(CVE-2018-12396) - WebExtension 可请求访问本地文件而不会及时出现警告说明“扩展将访问显示给用户所有网站的数据”。这允许扩展在本地页运行内容脚本，当打开本地文件时不会出现权限警告。该漏洞影响 Firefox ESR < 60.3 和 Firefox < 63。(CVE-2018-12397) - 在用于 SSL 的 TransportSecurityInfo 中发现可能遭到恶意利用的损毁，这可能是由储存在用户配置文件目录内本地缓存中的数据所触发。只有配合攻击者可借以将数据写入本地缓存，或从本地安装恶意软件写入数据的其他漏洞，此问题才能遭到利用。若使用相同的配置文件，此问题也会针对在 Firefox 的 Nightly 和 Release 版本之间切换的用户触发无法利用的开机崩溃。此漏洞会影响 Thunderbird < 60.2.1、Firefox ESR < 60.2.1 和 Firefox < 62.0.2。(CVE-2018-12385) - Mozilla 开发人员、社区成员报告 Firefox 62 和 Firefox ESR 60.2 中存在内存安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。该漏洞影响 Firefox < 63、Firefox ESR < 60.3 和 Thunderbird < 60.3。(CVE-2018-12390) - 在 32 位构建中发现一个潜在漏洞，即在脚本转换为内部 UTF-16 表达期间整数溢出可导致分配缓冲区较小，无法进行转换。此漏洞可导致越界写入。*注意：64 位构建不易受到此问题影响。* 该漏洞影响 Firefox < 63、Firefox ESR < 60.3 和 Thunderbird < 60.3。(CVE-2018-12393) - Firefox 59、Firefox ESR 52.7 和 Thunderbird 52.7 中已报告内存安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。此漏洞会影响 Thunderbird < 52.8、Thunderbird ESR < 52.8、Firefox < 60 和 Firefox ESR < 52.8。(CVE-2018-5150) - 站点可通过操纵主题元素的 baseURI 属性，绕过对安装轻量级主题的权限的安全检查。这会允许恶意站点无需用户交互即可安装主题，其中可能包含冒犯性或尴尬的图像。此漏洞会影响 Thunderbird < 52.8、Thunderbird ESR < 52.8、Firefox < 60 和 Firefox ESR < 52.8。(CVE-2018-5168) 请注意，Nessus 并未针对此问题进行测试，而仅依赖应用程序自我报告的版本号。

远程主机受到 GLSA-201811-04 中所述漏洞的影响（Mozilla Firefox：多个漏洞）在 Mozilla Firefox 中发现多个漏洞。请检查下面引用的 CVE 标识符以了解详细信息。影响：远程攻击者可引诱用户查看特制的网页，进而可能以进程的权限来执行任意代码、造成拒绝服务情况、绕过访问限制、访问其他受保护的信息。解决方法：目前无任何已知的解决方法。

Mozilla Firefox web 浏览器中发现多个安全问题，可能会造成执行任意代码、权限提升和信息泄露。

firefox 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Mozilla Firefox 是一个开源网页浏览器，设计满足标准合规、性能和可移植性要求。此更新将 Firefox 升级到版本 60.3.0 ESR。安全修复：* Mozilla：Firefox 63 和 Firefox ESR 60.3 中的内存安全缺陷已修复 (CVE-2018-12390) * Mozilla：嵌套事件循环崩溃 (CVE-2018-12392) * Mozilla：在 Unicode 转换加载 JavaScript 过程中存在整数溢出 (CVE-2018-12393) * Mozilla：通过标头重写，导致域限制的 WebExtension 绕过 (CVE-2018-12395) * Mozilla：可在禁用环境中执行 WebExtension 内容脚本 (CVE-2018-12396) * Mozilla：WebExtension 本地文件权限检查绕过 (CVE-2018-12397) * Mozilla：Firefox ESR 60.3 中的内存安全缺陷已修复 (CVE-2018-12389) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。Red Hat 在此感谢 Mozilla 项目报告这些问题。上游感谢原始报告者 Christian Holler、Bob Owen、Boris Zbarsky、Calixte Denizet、Jason Kratzer、Jed Davis、Taegeon Lee、Philipp、Ronald Crane、Raul Gurzau、Gary Kwong、Tyson Smith、Raymond Forbes、Bogdan Tara、Nils、Rob Wu、Andrew Swan 和 Daniel Veditz。缺陷修复：* 此前，当退出 Firefox 时，通过主密码加密的 Firefox 浏览器保存的密码会遭清除。此更新确保用于解密存储登录数据的 NSS 文件得到正确处理。因此，重启 Firefox 后，受影响的密码不会再丢失。(BZ#1638082)

firefox 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Mozilla Firefox 是一个开源网页浏览器，设计满足标准合规、性能和可移植性要求。此更新将 Firefox 升级到版本 60.3.0 ESR。安全修复：* Mozilla：Firefox 63 和 Firefox ESR 60.3 中的内存安全缺陷已修复 (CVE-2018-12390) * Mozilla：嵌套事件循环崩溃 (CVE-2018-12392) * Mozilla：在 Unicode 转换加载 JavaScript 过程中存在整数溢出 (CVE-2018-12393) * Mozilla：通过标头重写，导致域限制的 WebExtension 绕过 (CVE-2018-12395) * Mozilla：可在禁用环境中执行 WebExtension 内容脚本 (CVE-2018-12396) * Mozilla：WebExtension 本地文件权限检查绕过 (CVE-2018-12397) * Mozilla：Firefox ESR 60.3 中的内存安全缺陷已修复 (CVE-2018-12389) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。Red Hat 在此感谢 Mozilla 项目报告这些问题。上游感谢原始报告者 Christian Holler、Bob Owen、Boris Zbarsky、Calixte Denizet、Jason Kratzer、Jed Davis、Taegeon Lee、Philipp、Ronald Crane、Raul Gurzau、Gary Kwong、Tyson Smith、Raymond Forbes、Bogdan Tara、Nils、Rob Wu、Andrew Swan 和 Daniel Veditz。

远程 macOS 主机上安装的 Mozilla Firefox 版本低于 63。因而会受到多个漏洞的影响：- 在适用于 Android 的 Firefox 播放 HTTP Live Stream 期间，可违背安全政策跨源访问音频数据。由于此问题存在于 Android 服务底层，所以通过将 HLS 流视为跨源和不透明访问处理该问题。*注意：此问题仅影响适用于 Android 的 Firefox 。Firefox 的桌面版本不受影响。*(CVE-2018-12391) - 通过脚本打开文档操纵嵌套循环中的用户事件时，由于事件处理不当可触发可遭利用的崩溃。(CVE-2018-12392) - 在 32 位构建中发现一个潜在漏洞，即在脚本转换为内部 UTF-16 表达期间整数溢出可导致分配缓冲区较小，无法进行转换。此漏洞可导致越界写入。*注意：64 位构建不易受到此问题影响。*(CVE-2018-12393) - 通过使用 webRequest API 重写主机请求标头，WebExtension 可通过域前端绕过域限制。这将允许其访问共享主机的域，否则这些域将受到限制。(CVE-2018-12395) - 在以下导航或其他事件的禁用环境下存在 WebExtension 可运行内容脚本漏洞。这允许站点上的 WebExtension 可能在不应该运行的内容脚本上进行权限升级。(CVE-2018-12396) - WebExtension 可请求访问本地文件而不会及时出现警告声称，'Access your data for all websites'显示给用户。这允许扩展在本地页运行内容脚本，当打开本地文件时不会出现权限警告。(CVE-2018-12397) - 通过在某些特殊资源 URI 中使用反射性 URL，如 chrome:，可注入 stylesheets 并绕过内容安全策略 (CSP)。(CVE-2018-12398) - 当注册新的协议处理程序时，API 接受用于误导用户哪个域正在注册新协议的标题参数。这可能导致用户批准未注册的协议处理程序。(CVE-2018-12399) - 在适用于 Android 的 Firefox 个人浏览模式中，favicon 以非个人浏览模式存储在 cache/icons 文件夹中。这允许个人浏览会话期间，访问站点的信息泄露。*注意：此问题仅影响适用于 Android 的 Firefox 。Firefox 的桌面版本不受影响。*(CVE-2018-12400) - 如果在解析字符串中的'?'之后加载 optional 参数，某些特殊资源 URI 将导致不可利用的崩溃。这可导致拒绝服务 (DOS) 攻击。(CVE-2018-12401) - 当选择'Save Page As...'菜单项保存页面时，针对跨域请求发送 SameSite cookie，违背 cookie 策略。这可导致保存基于这些 cookie 的错误资源版本。(CVE-2018-12402) - 如果通过 HTTPS 连接加载站点，但通过 HTTP 加载 favicon 资源，则不会向用户显示混合内容警告。(CVE-2018-12403) - Mozilla 开发人员和社区成员 Christian Holler、Dana Keeler、Ronald Crane、Marcia Knous、Tyson Smith、Daniel Veditz 以及 Steve Fink 报告 Firefox 62 中存在内存安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。(CVE-2018-12388) - Mozilla 开发人员、社区成员 Christian Holler、Bob Owen、Boris Zbarsky、Calixte Denizet、Jason Kratzer、Jed Davis、Taegeon Lee、Philipp、Ronald Crane、Raul Gurzau、Gary Kwong、Tyson Smith、Raymond Forbes 和 Bogdan Tara 报告 Firefox 62 和 Firefox ESR 60.2 中存在内存安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。(CVE-2018-12390) 请注意，Nessus 并不试图利用这些问题，而只依赖于应用程序自我报告的版本号。

运行版本 MAIN 4.05 的远程 NewStart CGSL 主机安装有受多个漏洞影响的 firefox 程序包：- 在动态调整 canvas 元素高度和宽度的同时渲染 canvas 内容时，发生缓冲区溢出，导致在当前计算的边界之外写入数据。这会导致潜在可利用的崩溃。此漏洞会影响 Thunderbird < 60、Thunderbird < 52.9、Firefox ESR < 60.1、Firefox ESR < 52.9 和 Firefox < 61。(CVE-2018-12359) - 由专注于该元素触发的变动事件处理程序期间，当删除输入元素时，可出现释放后使用漏洞。这会导致潜在可利用的崩溃。此漏洞会影响 Thunderbird < 60、Thunderbird < 52.9、Firefox ESR < 60.1、Firefox ESR < 52.9 和 Firefox < 61。(CVE-2018-12360) - 在 Supplemental Streaming SIMD Extensions 3 (SSSE3) 定标器完成的图形操作期间，出现整数溢出，造成潜在可利用崩溃。此漏洞会影响 Thunderbird < 60、Thunderbird < 52.9、Firefox ESR < 60.1、Firefox ESR < 52.9 和 Firefox < 61。(CVE-2018-12362) - 当脚本使用变动事件在文档间移动 DOM 节点时，可发生释放后使用漏洞，造成保存有节点的旧文档得到释放，但节点仍有引用其的指针。这会导致潜在可利用的崩溃。此漏洞会影响 Thunderbird < 60、Thunderbird < 52.9、Firefox ESR < 60.1、Firefox ESR < 52.9 和 Firefox < 61。(CVE-2018-12363) - NPAPI 插件（例如 Adobe Flash）可发送 non-simple 跨源请求，通过发出向目标站点进行 307 重定向的同源 POST 绕过 CORS。这会允许恶意站点实施跨站请求伪造 (CSRF) 攻击。此漏洞会影响 Thunderbird < 60、Thunderbird < 52.9、Firefox ESR < 60.1、Firefox ESR < 52.9 和 Firefox < 61。(CVE-2018-12364) - 遭入侵的 IPC 子进程可逃脱内容沙箱，列出文件系统上的任意文件的名称而无需用户同意或进行互动。这会导致暴露私有本地文件。此漏洞会影响 Thunderbird < 60、Thunderbird < 52.9、Firefox ESR < 60.1、Firefox ESR < 52.9 和 Firefox < 61。(CVE-2018-12365) - QCMS（颜色配置文件）转变期间的无效网格大小可导致越界读取被解释为浮点值。这会将隐私数据泄露到输出。此漏洞会影响 Thunderbird < 60、Thunderbird < 52.9、Firefox ESR < 60.1、Firefox ESR < 52.9 和 Firefox < 61。(CVE-2018-12366) - 在变更媒体源类型时捕获媒体流发生的漏洞会随捕获出现。这可能导致流数据转换到错误类型，造成潜在可利用崩溃。此漏洞会影响 Thunderbird < 60、Firefox ESR < 60.1、Firefox ESR < 52.9 和 Firefox < 61。(CVE-2018-5156) - Firefox 60、Firefox ESR 60 和 Firefox ESR 52.8 中已报告内存安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。此漏洞会影响 Thunderbird < 60、Thunderbird < 52.9、Firefox ESR < 60.1、Firefox ESR < 52.9 和 Firefox < 61。(CVE-2018-5188) - 在 67.0.3396.62 之前的 Google Chrome 的 Skia 中的准确性错误，允许远程攻击者通过构建的 HTML 页面执行越界内存写入。(CVE-2018-6126) - 当直接输入时，Reader Mode 未从地址栏中删除显示的 URL 用户名和密码部分。这可用于欺骗当前页面的域。此漏洞会影响 Firefox < 54。(CVE-2017-7762) - Firefox 61 和 Firefox ESR 60.1 中存在内存安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。该漏洞影响 Firefox < 62、Firefox ESR < 60.2 和 Thunderbird < 60.2.1。(CVE-2018-12376) - 在关机过程中，当仍在使用时删除计时器，在某些情况下刷新驱动程序定时器刷新时，可能会发生释放后使用漏洞。这会导致潜在可利用的崩溃。该漏洞影响 Firefox < 62、Firefox ESR < 60.2 和 Thunderbird < 60.2.1。(CVE-2018-12377) - 提供待储存负载值的 JavaScript 代码使用中的 IndexedDB 索引被删除时，可能会发生释放后使用漏洞。这会导致潜在可利用的崩溃。该漏洞影响 Firefox < 62、Firefox ESR < 60.2 和 Thunderbird < 60.2.1。(CVE-2018-12378) - Mozilla Updater 开启含有超长项目文件名的 MAR 格式文件时，可能会触发超出边界写入，进而导致可能遭到恶意利用的损毁。需在含有恶意 MAR 文件的本机系统上手动执行 Mozilla Updater 才会发生此状况。该漏洞影响 Firefox < 62、Firefox ESR < 60.2 和 Thunderbird < 60.2.1。(CVE-2018-12379) - 如果用户在 Firefox 58 之前保存了密码，之后再设置主密码，则仍可访问这些密码的未加密副本。这是因为将数据复制为 Firefox 58 中启动的新格式时，之前已存储的密码文件并未删除。系统只会将新的主密码添加到新文件。这可能会导致用户意料之外的已存储密码数据泄露情况。该漏洞影响 Firefox < 62、Firefox ESR < 60.2.1 和 Thunderbird < 60.2.1。(CVE-2018-12383) - JavaScript 中的寄存器分配漏洞可导致类型混淆，允许任意读取和写入。这会导致在触发时，沙箱型内容进程内的远程代码执行。该漏洞影响 Firefox ESR < 60.2.2 和 Firefox < 62.0.3。(CVE-2018-12386) - JavaScript JIT 编译器使用多个参数内联 Array.prototype.push 时存在漏洞，造成堆栈指针在 bailout 后偏离 8 个字节。这会泄露调用函数的内存地址，并可用于沙箱型内容进程内可利用的一部分。该漏洞影响 Firefox ESR < 60.2.2 和 Firefox < 62.0.3。(CVE-2018-12387) - 用含有 autofs 的 automount 功能可绕过 Firefox proxy 设置，进而可在本地文件系统上创建装入点。使用 `file:` URI 即可直接从此已装载文件系统加载内容，绕过已配置的 proxy 设置。该问题仅影响默认配置的 OS X；在 Linux 系统上，还必须安装 autofs 才会出现漏洞。(CVE-2017-16541) - Mozilla 开发人员、社区成员报告 Firefox ESR 60.2 中存在内存安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。该漏洞影响 Firefox ESR < 60.3 和 Thunderbird < 60.3。(CVE-2018-12389) - 通过脚本打开文档操纵嵌套循环中的用户事件时，由于事件处理不当可触发可遭利用的崩溃。该漏洞影响 Firefox < 63、Firefox ESR < 60.3 和 Thunderbird < 60.3。(CVE-2018-12392) - 通过使用 webRequest API 重写 Host: request 标头，WebExtension 可通过域前端绕过域限制。这将允许其访问共享主机的域，否则这些域将受到限制。该漏洞影响 Firefox ESR < 60.3 和 Firefox < 63。(CVE-2018-12395) - 在以下导航或其他事件的禁用环境下存在 WebExtension 可运行内容脚本漏洞。这允许站点上的 WebExtension 可能在不应该运行的内容脚本上进行权限升级。该漏洞影响 Firefox ESR < 60.3 和 Firefox < 63。(CVE-2018-12396) - WebExtension 可请求访问本地文件而不会及时出现警告说明“扩展将访问显示给用户所有网站的数据”。这允许扩展在本地页运行内容脚本，当打开本地文件时不会出现权限警告。该漏洞影响 Firefox ESR < 60.3 和 Firefox < 63。(CVE-2018-12397) - 在用于 SSL 的 TransportSecurityInfo 中发现可能遭到恶意利用的损毁，这可能是由储存在用户配置文件目录内本地缓存中的数据所触发。只有配合攻击者可借以将数据写入本地缓存，或从本地安装恶意软件写入数据的其他漏洞，此问题才能遭到利用。若使用相同的配置文件，此问题也会针对在 Firefox 的 Nightly 和 Release 版本之间切换的用户触发无法利用的开机崩溃。此漏洞会影响 Thunderbird < 60.2.1、Firefox ESR < 60.2.1 和 Firefox < 62.0.2。(CVE-2018-12385) - Mozilla 开发人员、社区成员报告 Firefox 62 和 Firefox ESR 60.2 中存在内存安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。该漏洞影响 Firefox < 63、Firefox ESR < 60.3 和 Thunderbird < 60.3。(CVE-2018-12390) - 在 32 位构建中发现一个潜在漏洞，即在脚本转换为内部 UTF-16 表达期间整数溢出可导致分配缓冲区较小，无法进行转换。此漏洞可导致越界写入。*注意：64 位构建不易受到此问题影响。* 该漏洞影响 Firefox < 63、Firefox ESR < 60.3 和 Thunderbird < 60.3。(CVE-2018-12393) 请注意，Nessus 并未针对此问题进行测试，而仅依赖应用程序自我报告的版本号。

firefox 的更新现在可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Mozilla Firefox 是一个开源网页浏览器，设计满足标准合规、性能和可移植性要求。此更新将 Firefox 升级到版本 60.3.0 ESR。安全修复：* Mozilla：Firefox 63 和 Firefox ESR 60.3 中的内存安全缺陷已修复 (CVE-2018-12390) * Mozilla：嵌套事件循环崩溃 (CVE-2018-12392) * Mozilla：在 Unicode 转换加载 JavaScript 过程中存在整数溢出 (CVE-2018-12393) * Mozilla：通过标头重写，导致域限制的 WebExtension 绕过 (CVE-2018-12395) * Mozilla：可在禁用环境中执行 WebExtension 内容脚本 (CVE-2018-12396) * Mozilla：WebExtension 本地文件权限检查绕过 (CVE-2018-12397) * Mozilla：Firefox ESR 60.3 中的内存安全缺陷已修复 (CVE-2018-12389) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。Red Hat 在此感谢 Mozilla 项目报告这些问题。上游感谢原始报告者 Christian Holler、Bob Owen、Boris Zbarsky、Calixte Denizet、Jason Kratzer、Jed Davis、Taegeon Lee、Philipp、Ronald Crane、Raul Gurzau、Gary Kwong、Tyson Smith、Raymond Forbes、Bogdan Tara、Nils、Rob Wu、Andrew Swan 和 Daniel Veditz。缺陷修复：* 此前，当退出 Firefox 时，通过主密码加密的 Firefox 浏览器保存的密码会遭清除。此更新确保用于解密存储登录数据的 NSS 文件得到正确处理。因此，重启 Firefox 后，受影响的密码不会再丢失。(BZ#1638082)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
118808	Debian DLA-1571-1：firefox-esr 安全更新	Nessus	Debian Local Security Checks	2018/11/8	2021/1/11	critical
118443	Scientific Linux 安全更新：SL7.x x86_64 中的 firefox	Nessus	Scientific Linux Local Security Checks	2018/10/26	2022/2/2	critical
118397	Mozilla Firefox < 63 多个漏洞	Nessus	Windows	2018/10/25	2019/11/1	high
118394	Mozilla Firefox ESR < 60.3 Multiple Vulnerabilities (macOS)	Nessus	MacOS X Local Security Checks	2018/10/25	2019/11/1	high
118442	Scientific Linux 安全更新：SL6.x i386/x86_64 中的 firefox	Nessus	Scientific Linux Local Security Checks	2018/10/26	2022/2/2	critical
118375	RHEL 6 : firefox (RHSA-2018:3006)	Nessus	Red Hat Local Security Checks	2018/10/25	2024/4/27	critical
118393	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS：Firefox 漏洞 (USN-3801-1)	Nessus	Ubuntu Local Security Checks	2018/10/25	2023/10/20	critical
119146	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS：Firefox 回归 (USN-3801-2)	Nessus	Ubuntu Local Security Checks	2018/11/26	2023/10/20	critical
118368	Oracle Linux 7 : firefox (ELSA-2018-3005)	Nessus	Oracle Linux Local Security Checks	2018/10/25	2022/2/3	critical
118395	Mozilla Firefox ESR < 60.3 多个漏洞	Nessus	Windows	2018/10/25	2019/11/1	high
118709	Oracle Linux 6 : firefox (ELSA-2018-3006)	Nessus	Oracle Linux Local Security Checks	2018/11/2	2022/1/27	critical
127198	NewStart CGSL CORE 5.04 / MAIN 5.04：firefox 多个漏洞 (NS-SA-2019-0032)	Nessus	NewStart CGSL Local Security Checks	2019/8/12	2021/1/14	critical
118848	GLSA-201811-04：Mozilla Firefox：多个漏洞	Nessus	Gentoo Local Security Checks	2018/11/9	2021/4/14	critical
118365	Debian DSA-4324-1：firefox-esr - 安全更新	Nessus	Debian Local Security Checks	2018/10/25	2022/2/4	critical
118405	CentOS 7 : firefox (CESA-2018:3005)	Nessus	CentOS Local Security Checks	2018/10/26	2022/2/3	critical
118406	CentOS 6 : firefox (CESA-2018:3006)	Nessus	CentOS Local Security Checks	2018/10/26	2022/2/3	critical
118396	Mozilla Firefox < 63 Multiple Vulnerabilities (macOS)	Nessus	MacOS X Local Security Checks	2018/10/25	2019/11/1	high
127404	NewStart CGSL MAIN 4.05：firefox 多个漏洞 (NS-SA-2019-0141)	Nessus	NewStart CGSL Local Security Checks	2019/8/12	2021/1/14	critical
118374	RHEL 7：firefox (RHSA-2018:3005)	Nessus	Red Hat Local Security Checks	2018/10/25	2024/4/27	critical

检测

插件搜索

critical

critical

high

high

critical

critical

critical

critical

critical

high

critical

critical

critical

critical

critical

critical

high

critical

critical