Mozilla Firefox ESR < 91.11
critical Nessus 插件 ID 162605
语言：
简介
远程 macOS 或 Mac OS X 主机上安装的 Web 浏览器受到多个漏洞影响。描述
远程 macOS 或 Mac OS X 主机上安装的 Firefox ESR 版本低于 91.11。因此，该应用程序受到 mfsa2022-25 公告中提及的多个漏洞的影响。- 可创建弹出窗口的恶意网站可能会调整弹出窗口的大小，使其自己的内容覆盖地址栏，从而可能使用户混淆不清或造成欺骗攻击。此错误仅影响 Linux 版 Firefox。其他操作系统不受影响。(CVE-2022-34479)
- XML 文档之间的导航可能导致释放后使用和易被利用的崩溃。
(CVE-2022-34470)
- 如果用户点击 <code>javascript：</code> 链接，不准许运行脚本的 iframe 将能够完成此操作。(CVE-2022-34468)
- 在 <code>nsTArrayImpl 中：: 在使用 ReplaceElementsAt()</code> 函数时，当要替换的元素数量对于容器来说太大时，可能会发生整数溢出。(CVE-2022-34481)
- 攻击者可能已将 CSS 注入可通过内部 URI 访问的样式表例如（如 resource:），从而绕过页面的内容安全策略。(CVE-2022-31744)
- 如果设置了 PAC URL 并且无法访问托管该 PAC 的服务器，则 OCSP 请求将被阻止，从而导致显示不正确的错误页面。(CVE-2022-34472)
- 当用户接受提示时，<code>ms-msdt</code>、<code>search</code> 和 <code>search-ms</code> 协议会绕过浏览器向 Microsoft 应用程序传递内容。这些应用程序存在被广泛利用的漏洞（尽管我们知道 Firefox 不会利用任意漏洞），因此在此版本中 Firefox 已阻止这些协议提示用户打开它们。此错误仅影响 Windows 版 Firefox。其他操作系统不受影响。(CVE-2022-34478)
- 如果攻击者损坏了对象原型，他们将能够在 JavaScript 对象上设置不需要的属性，从而导致系统执行特权代码。(CVE-2022-2200)
- Mozilla Fuzzing Team 报告 Firefox 101 和 Firefox ESR 91.10 中存在潜在漏洞。
其中某些错误展示出内存损坏迹象，我们推测若攻击者付出足够努力，就能利用部分错误运行任意代码。(CVE-2022-34484)
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
升级至 Mozilla Firefox ESR 91.11 或更高版本。另见
https://www.mozilla.org/en-US/security/advisories/mfsa2022-25/
插件详情
严重性: Critical
ID: 162605
文件名: macos_firefox_91_11_esr.nasl
版本: 1.8
类型: local
代理: macosx
发布时间: 2022/6/29
最近更新时间: 2023/10/19
支持的传感器: Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 6.7
CVSS v2
风险因素: Critical
基本分数: 10
时间分数: 7.8
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS 分数来源: CVE-2022-34484
CVSS v3
风险因素: Critical
基本分数: 9.8
时间分数: 8.8
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
CVSS 分数来源: CVE-2022-34470
漏洞信息
CPE: cpe:/a:mozilla:firefox_esr
必需的 KB 项: MacOSX/Firefox/Version
可利用: true
易利用性: Exploits are available
补丁发布日期: 2022/6/28
漏洞发布日期: 2022/6/2
参考资料信息
CVE: CVE-2022-2200, CVE-2022-31744, CVE-2022-34468, CVE-2022-34470, CVE-2022-34472, CVE-2022-34478, CVE-2022-34479, CVE-2022-34481, CVE-2022-34484
IAVA: 2022-A-0226-S, 2022-A-0256-S