Firefox ESR 24.x < 24.4 多种漏洞
high Nessus 插件 ID 73098
语言：
简介
远程 Windows 主机包含可能受多种漏洞影响的 Web 浏览器。描述
安装的 Firefox ESR 24.x 版本低于 24.4 版。因此，它可能会受到以下漏洞的影响：
- 存在内存问题，可导致执行任意代码。（CVE-2014-1493、CVE-2014-1494）
- 存在更新时解压缩的更新文件不是只读的问题。攻击者可能修改这些解压缩的文件，导致权限升级。(CVE-2014-1496)
- 解码 WAV 格式的音频文件时存在越界读取错误，可导致拒绝服务攻击或信息泄露。
(CVE-2014-1497)
- 在“MathML”中渲染多边形时存在越界读取错误，可导致信息泄露。(CVE-2014-1508)
- 渲染 PDF 文件时 Cairo 图形库中存在内存损坏问题，可导致任意代码执行或拒绝服务攻击。
(CVE-2014-1509)
- SVG 过滤器和 feDisplacementMap 元素中存在问题，可导致通过时序攻击泄露信息。
(CVE-2014-1505)
- 当 JavaScript 实现的 WebIDL 调用“window.open()”函数时，存在可允许恶意网站加载 chrome 权限页面的问题，这可导致任意代码执行。
(CVE-2014-1510)
- 存在可允许恶意网站绕过弹出窗口拦截程序的问题。(CVE-2014-1511)
- 在垃圾回收期间，JavaScript 引擎中的“TypeObjects”存在一个释放后使用内存问题，可导致任意代码执行。
(CVE-2014-1512)
- 由于“TypedArrayObject”不当处理“ArrayBuffer”对象而存在越界写入错误，可导致任意代码执行。
(CVE-2014-1513)
- 将值从一个数组复制到另一个数组时存在越界写入错误，可导致任意代码执行。(CVE-2014-1514)
解决方案
升级到 Firefox ESR 24.4 或更高版本。另见
http://www.securityfocus.com/archive/1/531617/30/0/threaded
https://www.mozilla.org/en-US/security/advisories/mfsa2014-01/
https://www.mozilla.org/en-US/security/advisories/mfsa2014-15/
https://www.mozilla.org/en-US/security/advisories/mfsa2014-16/
https://www.mozilla.org/en-US/security/advisories/mfsa2014-17/
https://www.mozilla.org/en-US/security/advisories/mfsa2014-18/
https://www.mozilla.org/en-US/security/advisories/mfsa2014-19/
https://www.mozilla.org/en-US/security/advisories/mfsa2014-26/
https://www.mozilla.org/en-US/security/advisories/mfsa2014-27/
https://www.mozilla.org/en-US/security/advisories/mfsa2014-28/
https://www.mozilla.org/en-US/security/advisories/mfsa2014-29/
https://www.mozilla.org/en-US/security/advisories/mfsa2014-30/
https://www.mozilla.org/en-US/security/advisories/mfsa2014-31/
https://www.mozilla.org/en-US/security/advisories/mfsa2014-32/
插件详情
严重性: High
ID: 73098
文件名: mozilla_firefox_24_4_esr.nasl
版本: 1.18
类型: local
代理: windows
系列: Windows
发布时间: 2014/3/19
最近更新时间: 2018/7/16
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Nessus
风险信息
VPR
风险因素: Critical
分数: 9.5
CVSS v2
风险因素: High
基本分数: 9.3
时间分数: 8.1
矢量: CVSS2#AV:N/AC:M/Au:N/C:C/I:C/A:C
漏洞信息
CPE: cpe:/a:mozilla:firefox_esr
必需的 KB 项: Mozilla/Firefox/Version
可利用: true
易利用性: Exploits are available
补丁发布日期: 2014/3/18
漏洞发布日期: 2014/3/18
可利用的方式
Metasploit (Firefox WebIDL Privileged Javascript Injection)
参考资料信息
CVE: CVE-2014-1493, CVE-2014-1494, CVE-2014-1495, CVE-2014-1496, CVE-2014-1497, CVE-2014-1505, CVE-2014-1508, CVE-2014-1509, CVE-2014-1510, CVE-2014-1511, CVE-2014-1512, CVE-2014-1513, CVE-2014-1514
BID: 66203, 66206, 66207, 66209, 66240, 66412, 66416, 66418, 66419, 66423, 66425, 66426