远程 macOS 或 Mac OS X 主机上安装的 Mozilla Firefox ESR 版本低于 60.2。因而会受到多个漏洞的影响，其中一些漏洞允许代码执行，并可能导致可遭利用的崩溃。

在 Firefox 中发现多个安全问题。如果用户受到诱骗打开特制的网站，攻击者可能利用这些问题造成拒绝服务，或执行任意代码。(CVE-2018-12375, CVE-2018-12376, CVE-2018-12377, CVE-2018-12378)

发现如果用户在 Firefox 58 之前保存了密码，之后再设置主密码，则仍可访问这些密码的未加密副本。本地用户可利用此问题获取敏感信息。(CVE-2018-12383)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

此更新将 Firefox 升级到版本 60.2.0 ESR。安全修复：- Mozilla：Firefox 62 和 Firefox ESR 60.2 中的内存安全缺陷已修复 (CVE-2018-12376) - Mozilla：在驱动程序定时器中发现释放后使用 (CVE-2018-12377) - Mozilla：在 IndexedDB 中发现释放后使用 (CVE-2018-12378) - Mozilla：使用自动安装和自动挂载时发现 Proxy 绕过 (CVE-2017-16541) - Mozilla：使用恶意 MAR 文件进行越界写入 (CVE-2018-12379)

firefox 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Mozilla Firefox 是一个开源网页浏览器，设计满足标准合规、性能和可移植性要求。此更新将 Firefox 升级到版本 60.2.0 ESR。安全修复：* Mozilla：Firefox 62 和 Firefox ESR 60.2 中的内存安全缺陷已修复 (CVE-2018-12376) * Mozilla：在驱动程序定时器中发现释放后使用 (CVE-2018-12377) * Mozilla：在 IndexedDB 中发现释放后使用 (CVE-2018-12378) * Mozilla：使用自动安装和自动挂载时发现 Proxy 绕过 (CVE-2017-16541) * Mozilla：使用恶意 MAR 文件越界写入 (CVE-2018-12379) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。Red Hat 在此感谢 Mozilla 项目报告这些问题。上游感谢原始报告者 Alex Gaynor、Boris Zbarsky、Christoph Diehl、Christian Holler、Jason Kratzer、Jed Davis、Tyson Smith、Bogdan Tara、Karl Tomlinson、Mats Palmgren、Nika Layzell、Ted Campbell、Nils、Zhanjia Song 和 Holger Fuhrmannek。

远程 Windows 主机上安装的 Mozilla Thunderbird 版本低于 60.2.1。因而会受到多个漏洞的影响：- 关机时，若在某些情况下重新整理了重新整理驱动程序定时器，可能会发生释放后使用漏洞，这是因为定时器在使用中状态下遭到删除所致。这会导致潜在可利用的崩溃。(CVE-2018-12377) - 提供待储存负载值的 JavaScript 代码使用中的 IndexedDB 索引被删除时，可能会发生释放后使用漏洞。这会导致潜在可利用的崩溃。(CVE-2018-12378) - 使用页面上的 <meta> 元数据 http-equiv=refresh 时，同源策略违规会造成跨源 URL 项目遭窃，进而导致系统使用 performance.getEntries() 重新导向至另一个网站。这是同源策略违规，可能导致数据遭窃。(CVE-2018-18499) - Mozilla Updater 开启含有超长项目文件名的 MAR 格式文件时，可能会触发超出边界写入，进而导致可能遭到恶意利用的损毁。需在含有恶意 MAR 文件的本机系统上手动执行 Mozilla Updater 才会发生此状况。(CVE-2018-12379) - 用含有 autofs 的 automount 功能可绕过浏览器 Proxy 设定，进而可在本机文件系统上建立一个装载点。使用下列文件即可直接从此已装载文件系统加载内容：URI，绕过已设定的 proxy 设定。*注意：此问题仅会影响预设配置中的 OS X。在 Linux 系统中，必须安装 autofs 才会产生此漏洞，Windows 则不受影响。*(CVE-2017-16541) - 在用于 SSL 的 TransportSecurityInfo 中发现可能遭到恶意利用的损毁，这可能是由储存在用户配置文件目录内本地缓存中的数据所触发。只有配合攻击者可借以将数据写入本地缓存，或从本地安装恶意软件写入数据的其他漏洞，此问题才能遭到利用。若使用相同的配置文件，此问题也会针对在 Firefox 的 Nightly 和 Release 版本之间切换的用户触发无法利用的开机崩溃。(CVE-2018-12385) - 如果用户在 Firefox 58 之前保存了密码，之后再设置主密码，则仍可访问这些密码的未加密副本。这是因为将数据复制为 Firefox 58 中启动的新格式时，之前已存储的密码文件并未删除。系统只会将新的主密码添加到新文件。这可能会导致用户意料之外的已存储密码数据泄露情况。(CVE-2018-12383) - Mozilla 开发人员和社区成员 Alex Gaynor、Boris Zbarsky、Christoph Diehl、Christian Holler、Jason Kratzer、Jed Davis、Tyson Smith、Bogdan Tara、Karl Tomlinson、Mats Palmgren、Nika Layzell、Ted Campbell 及 Andrei Cristian Petcu 报告 Firefox 61 及 Firefox ESR 60.1 中存在安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。(CVE-2018-12376) 请注意，Nessus 并未针对此问题进行测试，而仅依赖应用程序自我报告的版本号。

thunderbird 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Mozilla Thunderbird 是独立的邮件和新闻组客户端。此更新将 Thunderbird 升级到版本 60.2.1。安全修复：* Mozilla：Firefox 62 和 Firefox ESR 60.2 中的内存安全缺陷已修复 (CVE-2018-12376) * Mozilla：在驱动程序定时器中发现释放后使用 (CVE-2018-12377) * Mozilla：在 IndexedDB 中发现释放后使用 (CVE-2018-12378) * Mozilla：使用自动安装和自动挂载时发现 Proxy 绕过 (CVE-2017-16541) * Mozilla：使用恶意 MAR 文件进行越界写入 (CVE-2018-12379) * Mozilla：由于缓存数据造成 TransportSecurityInfo 中的崩溃 (CVE-2018-12385) * Mozilla：设置主密码 post-Firefox 58 并未删除之前保存的未加密密码 (CVE-2018-12383) 注意：在 Thunderbird 中，无法通过特制 HTML 邮件利用上述所有问题，因为邮件消息已禁用 JavaScript，并无法启用。在 Thunderbird 中可采用另一种方式利用这些问题，例如查看 RSS 源的远程内容时。有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。Red Hat 在此感谢 Mozilla 项目报告这些问题。上游感谢原始报告者 Alex Gaynor、Boris Zbarsky、Christoph Diehl、Christian Holler、Jason Kratzer、Jed Davis、Tyson Smith、Bogdan Tara、Karl Tomlinson、Mats Palmgren、Nika Layzell、Ted Campbell、Nils、Zhanjia Song、Holger Fuhrmannek、Philipp 和 Jurgen Gaeremyn。

来自 Red Hat 安全公告 2018:3458： thunderbird 更新现可用于 Red Hat Enterprise Linux 7。 Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 Mozilla Thunderbird 是独立的邮件和新闻组客户端。 此更新将 Thunderbird 升级到版本 60.2.1。 安全补丁： * Mozilla：在 Firefox 62 和 Firefox ESR 60.2 中修复了内存安全缺陷 (CVE-2018-12376) * Mozilla：驱动程序计时器中的释放后使用 (CVE-2018-12377) * Mozilla：IndexedDB 中的释放后使用 (CVE-2018-12378) * Mozilla：使用 automount 和 autofs 的代理绕过 (CVE-2017-16541) * Mozilla：使用恶意 MAR 文件的越界写入 (CVE-2018-12379) * Mozilla：由于缓存的数据，导致 TransportSecurityInfo 发生崩溃 (CVE-2018-12385) * Mozilla：设置主密码 post-Firefox 58 并未删除之前保存的未加密密码 (CVE-2018-12383) 注意：特别构建的 HTML 邮件无法在 Thunderbird 中利用所有上述问题，因为对邮件消息禁用 JavaScript 且无法启用。在 Thunderbird 中可采用另一种方式利用这些问题，例如查看 RSS 源远程内容的情况。 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。 Red Hat 在此感谢 Mozilla 项目报告这些问题。上游感谢原始报告者 Alex Gaynor、Boris Zbarsky、Christoph Diehl、Christian Holler、Jason Kratzer、Jed Davis、Tyson Smith、Bogdan Tara、 Karl Tomlinson、Mats Palmgren、Nika Layzell、Ted Campbell、Nils、Zhanjia Song、Holger Fuhrmannek、Philipp 和 Jurgen Gaeremyn。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Firefox 61 和 Firefox ESR 60.1 中存在内存安全缺陷。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。该漏洞影响 Firefox < 62、Firefox ESR < 60.2 和 Thunderbird < 60.2.1。
    (CVE-2018-12376)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Versions of Mozilla Firefox prior to 62.0 are unpatched for the following vulnerabilities as referenced in the mfsa2018-20 advisory:

 - Browser proxy settings can be bypassed by using the automount feature with autofs to create a mount point on the local file system. Content can be loaded from this mounted file system directly using "file: URI", bypassing configured proxy settings. (CVE-2017-16541)
 - Evidence of memory corruption exists that could be exploited to run arbitrary code. (CVE-2018-12375, CVE-2018-12376)
 - A use-after-free vulnerability can occur when refresh driver timers are refreshed in some circumstances during shutdown when the timer is deleted while still in use. This results in a potentially exploitable crash. (CVE-2018-12377)
 - A use-after-free vulnerability can occur when an IndexedDB index is deleted while still in use by JavaScript code that is providing payload values to be stored. This results in a potentially exploitable crash. (CVE-2018-12378)
 - When the Mozilla Updater opens a MAR format file which contains a very long item filename, an out-of-bounds write can be triggered, leading to a potentially exploitable crash. This requires running the Mozilla Updater manually on the local system with the malicious MAR file in order to occur. (CVE-2018-12379)
 - Manually dragging and dropping an Outlook email message into the browser will trigger a page navigation when the mail columns are incorrectly interpreted as a URL. (CVE-2018-12381)
 - The displayed addressbar URL can be spoofed on Firefox for Android using 'javascript: URI' in concert with JavaScript to insert text before the loaded domain name, scrolling the loaded domain out of view to the right. This can lead to user confusion. (CVE-2018-12382)
 - If a user saved passwords before Firefox 58 and then later set a master password, an unencrypted copy of these passwords is still accessible. This is because the older stored password file was not deleted when the data was copied to a new format starting in Firefox 58. The new master password is added only on the new file. This could allow the exposure of stored password data outside of user expectations. (CVE-2018-12383)

ID	Name	Product	Family	Published	Updated	Severity
117292	Mozilla Firefox ESR < 60.2 Multiple Vulnerabilities (macOS)	Nessus	MacOS X Local Security Checks	9/6/2018	8/12/2024	critical
117357	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS：Firefox 漏洞 (USN-3761-1)	Nessus	Ubuntu Local Security Checks	9/7/2018	8/27/2024	critical
117474	Scientific Linux 安全更新：SL7.x x86_64 中的 firefox	Nessus	Scientific Linux Local Security Checks	9/13/2018	8/8/2024	critical
117485	CentOS 7 : firefox (CESA-2018:2692)	Nessus	CentOS Local Security Checks	9/14/2018	8/8/2024	critical
117939	Mozilla Thunderbird < 60.2.1 多个漏洞	Nessus	Windows	10/5/2018	8/1/2024	critical
118744	RHEL 7 : thunderbird (RHSA-2018:3458)	Nessus	Red Hat Local Security Checks	11/6/2018	4/27/2024	critical
118813	Oracle Linux 7 : thunderbird (ELSA-2018-3458)	Nessus	Oracle Linux Local Security Checks	11/8/2018	10/22/2024	critical
246876	Linux Distros 未修补的漏洞：CVE-2018-12376	Nessus	Misc.	8/9/2025	8/9/2025	critical
700407	Mozilla Firefox < 62.0 Multiple Vulnerabilities	Nessus Network Monitor	Web Clients	2/6/2019	3/6/2019	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical

critical

critical

critical

critical

critical