リモートの Solaris システムに、次のセキュリティの更新に対処するのに必要なパッチがありません：

- 4.x から 10.0 までの Mozilla Firefox、 10.0.3 より前の Firefox ESR 10.x、5.0 から 10.0 までの Thunderbird、 10.0.3 より前の Thunderbird ESR 10.x、および 2.8 より前の SeaMonkey における、 CRLF インジェクションの脆弱性により、リモートの Web サーバーは、意図されたコンテンツセキュリティポリシー（CSP）の制限をバイパスすることができ、細工した HTTP ヘッダーを通じて、クロスサイトスクリプティング（XSS）攻撃を仕掛けることができる場合があります。
 (CVE-2012-0451)

- 3.6.28 より前の Mozilla Firefox と 4.x から 10.0 までの Mozilla Firefox、 10.0.3 より前の Firefox ESR 10.x、3.1.20 より前の Thunderbird と 5.0 から 10.0 までの Thunderbird、10.0.3 より前の Thunderbird ESR 10.x、および 2.8 より前の SeaMonkey は、ドラッグアンドドロップの操作を javascript の URL で適切に制限していません：これにより、ユーザーの支援を受けたリモートの攻撃者は、細工された Web ページを通じて、クロスサイトスクリプティング（XSS）攻撃を仕掛けることができます。これは、「DragAndDropJacking」の問題に関連しています。
 (CVE-2012-0455)

- 3.6.28 より前の Mozilla Firefox と 4.x から 10.0 までの Mozilla Firefox、 10.0.3 より前の Firefox ESR 10.x、 3.1.20 より前の Thunderbird と 5.0 から 10.0 までの Thunderbird、 10.0.3 より前の Thunderbird ESR 10.x、および 2.8 より前の SeaMonkey での、SVG フィルターの実装により、リモートの攻撃者は、境界外の読み取りを誘発するベクトルを通じて、プロセスメモリから機密情報を入手できる場合があります。(CVE-2012-0456)

- 3.6.28 より前の Mozilla Firefox と 4.x から 10.0 までの Mozilla Firefox、 10.0.3 より前の Firefox ESR 10.x、 3.1.20 より前の Thunderbird と 5.0 から 10.0 までの Thunderbird、 10.0.3 より前の Thunderbird ESR 10.x、および 2.8 より前の SeaMonkey において、 nsSMILTimeValueSpec::ConvertBetweenTimeContainer 関数での use-after-free の脆弱性により、リモートの攻撃者は、SVG アニメーションを通じて、任意のコードを実行できる場合があります。(CVE-2012-0457)

- 3.6.28 より前の Mozilla Firefox と 4.x から 10.0 までの Mozilla Firefox、 10.0.3 より前の Firefox ESR 10.x、 3.1.20 より前の Thunderbird と 5.0 から 10.0 までの Thunderbird、 10.0.3 より前の Thunderbird ESR 10.x、および 2.8 より前の SeaMonkey は、ホームボタンへの URL のドラッグを手段とするホームページの設定を適切に制限していません。これにより、ユーザーの支援を受けたリモートの攻撃者は、javascript の URL を通じて、 chrome の権限で任意の JavaScript コードを実行することができます：この URL は、about:sessionrestore コンテキストで後に解釈されます。
 (CVE-2012-0458)

- 4.x から 10.0 までの Mozilla Firefox、10.0.3 より前の Firefox ESR 10.x、 5.0 から 10.0 までの Thunderbird、10.0.3 より前の Thunderbird ESR 10.x、および 2.8 より前の SeaMonkey における、Cascading Style Sheet（CSS）の実装により、リモートの攻撃者は、サービス拒否（アプリケーションクラッシュ）を引き起こすことができるか、keyframe の動的な変更と、それに続く keyframe の cssText へのアクセスを通じて、任意のコードを実行できる場合があります。(CVE-2012-0459)

- 4.x から 10.0 までの Mozilla Firefox、 10.0.3 より前の Firefox ESR 10.x、 5.0 から 10.0 までの Thunderbird、10.0.3 より前の Thunderbird ESR 10.x、および 2.8 より前の SeaMonkey は、window.fullScreen オブジェクトへの書き込みアクセスを適切に制限していません。これにより、リモートの攻撃者は、細工した Web ページを通じて、ユーザーインターフェイスを偽装することができます。(CVE-2012-0460)

- 3.6.28 より前の Mozilla Firefox と 4.x から 10.0 までの Mozilla Firefox、 10.0.3 より前の Firefox ESR 10.x、3.1.20 より前の Thunderbird と 5.0 から 10.0 までの Thunderbird、10.0.3 より前の Thunderbird ESR 10.x、および 2.8 より前の SeaMonkey において、ブラウザエンジンでの複数の特定されていない脆弱性により、リモートの攻撃者は、サービス拒否（メモリ破損とアプリケーションクラッシュ）を引き起こすことができるか、不明なベクトルを通じて、任意のコードを実行することがあります。(CVE-2012-0461)

- 4.x から 10.0 までの Mozilla Firefox、10.0.3 より前の Firefox ESR 10.x、5.0 から 10.0 までの Thunderbird、10.0.3 より前の Thunderbird ESR 10.x、および 2.8 より前の SeaMonkey において、ブラウザエンジンでの複数の特定されていない脆弱性により、リモートの攻撃者は、サービス拒否（メモリ破損とアプリケーションクラッシュ）を引き起こすことができるか、不明なベクトルを通じて、任意のコードを実行することがあります。
 (CVE-2012-0462)

- 3.6.28 より前の Mozilla Firefox と 4.x から 10.0 までの Mozilla Firefox、 10.0.3 より前の Firefox ESR 10.x、3.1.20 より前の Thunderbird と 5.0 から 10.0 までの Thunderbird、 10.0.3 より前の Thunderbird ESR 10.x、および 2.8 より前の SeaMonkey において、ブラウザエンジンでの use-after-free の脆弱性により、リモートの攻撃者は、array.join 関数への空の引数に関与しているベクトルを通じて、ガベージコレクションを誘発することと共に、任意のコードを実行することがあります。(CVE-2012-0464)

Soroush Dalili 氏は、Firefox が JavaScript リンクをフレームにドロップされることに対して充分な保護がないことを発見しました。リモートの攻撃者が、クロスサイトスクリプティング（XSS）を通じて、これを悪用することにより、コンテンツを変更したり、機密データを盗み出したりする可能性があります。（CVE-2012-0455）

Atte Kettunen は、Firefox の SVG アニメーションを処理する方法に use-after-free 脆弱性を発見しました。攻撃者は、これを悪用して、Firefox を起動しているユーザーの権限で任意のコードを実行する可能性があります。（CVE-2012-0457）

Atte Kettunen は、Firefox の SVG フィルターを処理する方法で領域外読み取りの脆弱性を発見しました。攻撃者は、これを悪用し、ページコンテンツにアクセス可能なユーザーのメモリからデータを作成する可能性があります。（CVE-2012-0456）

Mike Brooks は、復帰改行（CRLF）インジェクションを利用し、新しい Content Security Policy（CSP）規則を作成し、それがセパレートヘッダーインジェクションの脆弱性のあるサイトでクロスサイトスクリプティング（XSS）を可能にすることを発見しました。クロスサイトスクリプティングの脆弱性で、ユーザーが騙されて、特別に細工されたページを表示すると、リモートの攻撃者がこれを悪用してコンテンツを改竄したり、同一ドメイン内で機密データを盗み出したりするおそれがあります。
（CVE-2012-0451）

Mariusz Mlynski 氏は、ホームボタンに JavaScript リンクを受け入れると、ブラウザのホームページが設定されてしまうことを発見しました。攻撃者が、この脆弱性を利用することにより、権限のある about:sessionrestore コンテキストでスクリプト URL を読み込む可能性があります。（CVE-2012-0458）

Daniel Glazman 氏は、Cascading Style Sheet （CSS）実装には脆弱性があり、キーフレームの cssText にアクセスすることで、キーフレームに変更が生じクラッシュすることを発見しました。ユーザーがだまされて特別に細工された Web ページを開くと、攻撃者はこれを悪用し、アプリケーションのクラッシュを介してサービス拒否を発生させたり、 Firefox を呼び出すユーザーの権限でコードを実行する可能性があります。（CVE-2012-0459）

Matt Brubeck は、Firefox が window.fullScreen オブジェクトへのアクセスを適切に制限しなかったことを発見しました。ユーザーがだまされて特別に細工された Web ページを開くと、攻撃者はこの脆弱性を利用してユーザーインターフェイスを偽装する可能性があります。（CVE-2012-0460）

Bob Clary 氏、Christian Holler 氏、Jesse Ruderman 氏、Michael Bebenita 氏、David Anderson 氏、Jeff Walden 氏、Vincenzo Iozzo 氏、Willem Pinckaers 氏は、Firefox に影響をおよぼすメモリの安全性の問題があることを発見しました。ユーザーが騙されて、特別に細工されたページを開いた場合、攻撃者がこれを悪用して、アプリケーションのクラッシュを通じて、サービス拒否を引き起こすことや、 Firefox を起動しているユーザーの権限でコードを実行する可能性があります。
（CVE-2012-0461、CVE-2012-0462、 CVE-2012-0464）。

Mozilla Firefox はオープンソースの Web ブラウザです。

不正な形式の Web コンテンツの処理に様々な欠陥が見つかりました。悪意のあるコンテンツが含まれる Web ページが、Firefox をクラッシュさせたり、 Firefox を実行しているユーザーの権限で任意のコードを実行したりする可能性があります。（CVE-2012-0461、 CVE-2012-0462、CVE-2012-0464）

Firefox が特定のスケーラブル・ベクター・グラフィックス（SVG）画像ファイルを解析する方法で、2 つの欠陥が見つかりました。悪意ある SVG イメージファイルを含む Web ページが、情報漏洩を引き起こしたり、Firefox をクラッシュさせたり、 Firefox を実行しているユーザーの権限で任意のコードを実行したりする可能性があります。（CVE-2012-0456、CVE-2012-0457）

ユーザーが騙されて「javascript:」リンクをフレームにドロップした場合、欠陥があるため、悪意あるサイトが本来守られるべき制限をバイパスして、クロスサイトスクリプティング（XSS）攻撃を引き起こす可能性があります。
（CVE-2012-0455）

ホームページに「javascript:」リンクを設定される可能性があることが判明しました。
ユーザーが騙されて、リンクをホームボタンにドラッグしてホームページに設定した場合、Firefox が繰り返しクラッシュを引き起こし、最終的には Firefox を実行中のユーザーの権限で任意のコードを実行する可能性があります。（CVE-2012-0458）

Firefox が「cssText」を含む特定の Web コンテンツを解析スする方法で、欠陥が見つかりました。悪意のあるコンテンツが含まれる Web ページが、Firefox をクラッシュさせたり、 Firefox を実行しているユーザーの権限で任意のコードを実行したりする可能性があります。（CVE-2012-0459）

DOM フルスクリーン API を使用することにより、信頼されないコンテンツが mozRequestFullscreen セキュリティ保護をバイパスする可能性があることが見つかりました。悪意ある Web コンテンツを含む Web ぺージがこの API の欠陥を悪用することにより、ユーザーインターフェイスのなりすましを引き起こす可能性があります。（CVE-2012-0460）

Firefox が複数の Content Security Policy（CSP）ヘッダーのあるページを処理する方法で、欠陥が見つかりました。これは、ヘッダーインジェクションの欠陥のある Web サイトと組み合わせて使用された場合に、クロスサイトスクリプティング攻撃を引き起こす可能性があります。（CVE-2012-0451）

これらの欠陥の技術的な詳細については、Firefox 10.0.3 ESR 向けの Mozilla セキュリティアドバイザリを参照してください。Mozilla アドバイザリへのリンクは、このエラータの「参照」セクションにあります。

この更新は以下のバグも修正します：

- 繁体字中国語ロケール（zh-TW）を使用する場合は、Firefox を終了する際にセグメンテーション違反がときどき発生しました。

 - Web コンソール（［Tools］（ツール）-> ［Web Developer］（Web 開発者）-> ［Web Console］（Web コンソール））にテキストを入力すると、Firefox がクラッシュしました。

Firefox の全ユーザーは、Firefox バージョン 10.0.3 ESR が含まれるこれらの更新済みのパッケージへアップグレードし、これらの問題を修正する必要があります。更新をインストールした後、変更した内容を反映させるには Firefox を再起動する必要があります。

リモートホストは、GLSA-201301-01 で説明されている脆弱性の影響を受けます（Mozilla 製品：複数の脆弱性）

Mozilla Firefox、Thunderbird、SeaMonkey、NSS、GNU IceCat、および XULRunner に、複数の脆弱性が発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

リモートの攻撃者が、ユーザーを誘導し、特別に細工された Web ページやメールを表示させることができた場合、任意のコードを実行したり、サービス拒否状態を発生させたりする可能性があります。さらに、リモートの攻撃者が中間者攻撃の実行、機密情報の取得、制限および保護メカニズムのバイパス、ファイルダウンロードの強制、XML インジェクション攻撃の実行、XSS 攻撃の実行、同一生成元ポリシーのバイパス、フィッシング攻撃のための URL の偽装、縦スクロールの誘発、ロケーションバーの偽装、SSL インジケーターの偽装、ブラウザのフォントの変更、クリックジャッキング攻撃の実行を引き起こしたり、またはその他の詳細不明な影響を与えたりする可能性があります。
 ローカルの攻撃者が、昇格された権限を取得したり、機密情報を取得したり、またはダウンロードされた任意のファイルを置き換えたりする可能性があります。
 回避策：

現時点で、既知の回避策はありません。

Versions of Firefox 10.x prior to 10.0.3 are affected by the following security issues :

 - Multiple memory corruption issues. By tricking a user into visiting a specially crafted page, these issues may allow an attacker to execute arbitrary code in the context of the affected application. (CVE-2012-0454, CVE-2012-0457, CVE-2012-0459, CVE-2012-0461, CVE-2012-0462, CVE-2012-0463, CVE-2012-0464)
 - An HTTP Header security bypass vulnerability that can be leveraged by attackers to bypass certain security restrictions and conduct cross-site scripting attacks. (CVE-2012-0451)
 - A security bypass vulnerability that can be exploited by an attacker if the victim can be tricked into setting a new home page by dragging a specially crafted link to the 'home' button URL, which will set the user's home page to a 'javascript:' URL. (CVE-2012-0458)
 - An information disclosure vulnerability due to an out of bounds read in SVG filters. (CVE-2012-0456)
 - A cross-site scripting vulnerability that can be triggered by dragging and dropping 'javascript:' links onto a frame. (CVE-2012-0455)
 - 'window.fullScreen' is writeable by untrusted content, allowing attackers to perform UI spoofing attacks. (CVE-2012-0460)

Versions of Firefox ESR 10.x prior to 10.0.3 are affected by the following security issues :

 - Multiple memory corruption issues.  By tricking a user into visiting a specially crafted page, these issues may allow an attacker to execute arbitrary code in the context of the affected application. (CVE-2012-0454, CVE-2012-0457, CVE-2012-0459, CVE-2012-0461, CVE-2012-0462, CVE-2012-0463, CVE-2012-0464)
 - An HTTP Header security bypass vulnerability that can be leveraged by attackers to bypass certain security restrictions and conduct cross-site scripting attacks. (CVE-2012-0451)
 - A security bypass vulnerability that can be exploited by an attacker if the victim can be tricked into setting a new home page by dragging a specially crafted link to the 'home' button URL, which will set the user's home page to a 'javascript:' URL. (CVE-2012-0458)
 - An information disclosure vulnerability due to an out of bounds read in SVG filters. (CVE-2012-0456)
 - A cross-site scripting vulnerability that can be triggered by dragging and dropping 'javascript:' links onto a frame. (CVE-2012-0455)
 - 'window.fullScreen' is writeable by untrusted content, allowing attackers to perform UI spoofing attacks. (CVE-2012-0460)

Versions of SeaMonkey 2.x earlier than 2.8 are potentially affected by the following security issues :

  - Multiple memory corruption issues.  By tricking a user into visiting a specially crafted page, these issues may allow an attacker to execute arbitrary code in the context of the affected application. (CVE-2012-0454, CVE-2012-0457, CVE-2012-0459, CVE-2012-0461, CVE-2012-0462, CVE-2012-0463, CVE-2012-0464)

  - Ah HTTP Header security bypass vulnerability that can be leveraged by attackers to bypass certain security restrictions and conduct cross-site scripting attacks. (CVE-2012-0451)

  - A security bypass vulnerability that can be exploited by an attacker if the victim can be tricked into setting a new home page by dragging a specially crafted link to the 'home' button URL, which will set the user's home page to a 'javascript:' URL. (CVE-2012-0458)

  - An information disclosure vulnerability due to an out of bounds read in SVG filters. (CVE-2012-0456)

  - A cross-site scripting vulnerability that can be triggered by dragging and dropping 'javascript:' links onto a frame. (CVE-2012-0455)

  - 'window.fullScreen' is writeable by untrusted content, allowing attackers to perform UI spoofing attacks. (CVE-2012-0460)

Versions of Firefox 10.x earlier than 10.0.3 are potentially affected by the following security issues :

  - Multiple memory corruption issues.  By tricking a user into visiting a specially crafted page, these issues may allow an attacker to execute arbitrary code in the context of the affected application. (CVE-2012-0454, CVE-2012-0457, CVE-2012-0459, CVE-2012-0461, CVE-2012-0462, CVE-2012-0463, CVE-2012-0464)

  - Ah HTTP Header security bypass vulnerability that can be leveraged by attackers to bypass certain security restrictions and conduct cross-site scripting attacks. (CVE-2012-0451)

  - A security bypass vulnerability that can be exploited by an attacker if the victim can be tricked into setting a new home page by dragging a specially crafted link to the 'home' button URL, which will set the user's home page to a 'javascript:' URL. (CVE-2012-0458)

  - An information disclosure vulnerability due to an out of bounds read in SVG filters. (CVE-2012-0456)

  - A cross-site scripting vulnerability that can be triggered by dragging and dropping 'javascript:' links onto a frame. (CVE-2012-0455)

  - 'window.fullScreen' is writeable by untrusted content, allowing attackers to perform UI spoofing attacks. (CVE-2012-0460)

ID	Name	Product	Family	Published	Updated	Severity
80606	Oracle Solaris サードパーティのパッチの更新：firefox（multiple_vulnerabilities_in_firefox_web）	Nessus	Solaris Local Security Checks	1/19/2015	1/14/2021	high
58383	Ubuntu 10.04 LTS / 10.10 LTS / 11.04 / 11.10：Firefox の脆弱性（USN-1400-1）	Nessus	Ubuntu Local Security Checks	3/19/2012	9/19/2019	high
61282	Scientific Linux セキュリティ更新：SL5.x、SL6.x i386/x86_64 の Firefox	Nessus	Scientific Linux Local Security Checks	8/1/2012	1/14/2021	high
63402	GLSA-201301-01：Mozilla 製品：複数の脆弱性（BEAST）	Nessus	Gentoo Local Security Checks	1/8/2013	12/5/2022	critical
6352	Mozilla Thunderbird 10.x < 10.0.3 Multiple Vulnerabilities	Nessus Network Monitor	SMTP Clients	3/16/2012	3/6/2019	high
6350	Mozilla Firefox ESR 10.x < 10.0.3 Multiple Vulnerabilities	Nessus Network Monitor	Web Clients	3/15/2012	3/6/2019	high
6354	SeaMonkey 2.x < 2.8 Multiple Vulnerabilities	Nessus Network Monitor	Web Clients	3/15/2012	3/6/2019	high
801337	Mozilla SeaMonkey 2.x < 2.8 Multiple Vulnerabilities	Log Correlation Engine	Web Clients	3/15/2012		high
801284	Mozilla Firefox 10.x < 10.0.3 Multiple Vulnerabilities	Log Correlation Engine	Web Clients	3/15/2012		high
801370	Mozilla Thunderbird 10.x < 10.0.3 Multiple Vulnerabilities	Log Correlation Engine	Web Clients	3/16/2012		high

Detections

Analytics

Plugins Search

high

high

high

critical

high

high

high

high

high

high