远程 Oracle Linux 6 主机上安装的程序包受到 ELSA-2020-5257 公告中提及的多个漏洞的影响。

  - Google Chrome 87.0.4280.66 之前版本的图形中存在边信道信息泄露问题，允许远程攻击者通过构建的 HTML 页面泄露跨源数据。(CVE-2020-16012)

  - Firefox 的 SVG 代码中的解析和事件加载不匹配可导致触发加载事件，即使在经过清理之后亦是如此。已经能够利用特权内部页面中的 XSS 漏洞的攻击者可以利用此攻击绕过我们的内置杀毒软件。此漏洞会影响 Firefox < 83、Firefox ESR < 78.5 和 Thunderbird < 78.5。(CVE-2020-26951)

  - 当通过 ServiceWorker 拦截和缓存响应时，Firefox 未阻止执行包含错误 MIME 类型的脚本。这可导致跨站脚本包含漏洞或内容安全策略绕过。此漏洞会影响 Firefox < 83、Firefox ESR < 78.5 和 Thunderbird < 78.5。(CVE-2020-26958)

  - DNS over HTTPS 在使用期间会有意过滤响应中的 RFC1918 和相关 IP 范围，这是因为就 DoH 解析器而言，这些毫无意义。但是，当 IPv4 地址通过 IPv6 映射时，这些地址会被错误放行，从而导致潜在 DNS 重新绑定攻击。此漏洞会影响 Firefox < 83、Firefox ESR < 78.5 和 Thunderbird < 78.5。(CVE-2020-26961)

  - Mozilla 开发人员报告 Firefox 82 和 Firefox ESR 78.4 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测如果攻击者进行足够的尝试，则可以利用此漏洞运行任意代码。此漏洞会影响 Firefox < 83、Firefox ESR < 78.5 和 Thunderbird < 78.5。(CVE-2020-26968)

  - 此漏洞可能会导致浏览器在不显示安全 UI 的情况下进入全屏模式；进而可能尝试进行网络钓鱼攻击，或以其他方式迷惑用户。此漏洞会影响 Firefox < 83、Firefox ESR < 78.5 和 Thunderbird < 78.5。(CVE-2020-26953)

  - 在某些情况下，在审查期间删除 HTML 元素会保留现有 SVG 事件处理程序，并因此导致 XSS。此漏洞会影响 Firefox < 83、Firefox ESR < 78.5 和 Thunderbird < 78.5。(CVE-2020-26956)

  - 浏览器关闭期间，之前已释放的对象可能发生引用递减，进而导致释放后使用、内存损坏和潜在可利用的崩溃。此漏洞会影响 Firefox < 83、Firefox ESR < 78.5 和 Thunderbird < 78.5。(CVE-2020-26959)

  - 如果在 nsTArray 上调用 Compact() 方法，则系统会在不更新其他指针的情况下重新分配数组，从而导致潜在释放后使用和可利用的崩溃。此漏洞会影响 Firefox < 83、Firefox ESR < 78.5 和 Thunderbird < 78.5。(CVE-2020-26960)

  - 部分网站具有显示密码功能，即单击按钮会将密码字段更改为明文字段，从而显示输入的密码。在使用能够记住用户输入的软件键盘时，如果用户输入其密码并使用该功能，则密码字段的类型会被更改，从而导致键盘布局改变，并且软件键盘可能会记住输入的密码。该漏洞影响 Firefox < 83、Firefox ESR < 78.5 和 Thunderbird < 78.5。
    (CVE-2020-26965)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2020: 5237 公告中提及的多个漏洞的影响。

  - Mozilla：在 drawImage 调用期间，处理跨源图像所需时间不定 (CVE-2020-16012)

  - Mozilla：解析不匹配项可能会混淆并绕过 Chrome 特权代码的安全清除程序 (CVE-2020-26951)

  - Mozilla：可在不显示安全 UI 的情况下启用全屏 (CVE-2020-26953)

  - Mozilla：通过粘贴造成 XSS（手动和剪贴板 API）(CVE-2020-26956)

  - Mozilla：通过 ServiceWorkers 拦截的请求缺少 MIME 类型限制 (CVE-2020-26958)

  - Mozilla：WebRequestService 中存在释放后使用 (CVE-2020-26959)

  - Mozilla：使用 nsTArray 时存在潜在的释放后使用 (CVE-2020-26960)

  - Mozilla：DoH 未过滤 IPv4 映射的 IP 地址 (CVE-2020-26961)

  - Mozilla：软件键盘可能已记住键入的密码 (CVE-2020-26965)

  - Mozilla：在 Firefox 83 和 Firefox ESR 78.5 中已修复内存安全缺陷 (CVE-2020-26968)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 7 主机上安装的程序包受到 ELSA-2020-5235 公告中提及的多个漏洞的影响。

  - 当在未知跨源图像上绘制透明图像时，Skia 库 drawImage 函数所需时间不定，具体取决于底层图像的内容。这可导致通过时序边信道攻击，潜在的跨源图像内容信息泄露。(CVE-2020-16012)

  - Firefox 的 SVG 代码中的解析和事件加载不匹配可导致触发加载事件，即使在经过清理之后亦是如此。已经能够利用特权内部页面中的 XSS 漏洞的攻击者可以利用此攻击绕过我们的内置杀毒软件。(CVE-2020-26951)

  - 当通过 ServiceWorker 拦截和缓存响应时，Firefox 未阻止执行包含错误 MIME 类型的脚本。这可导致跨站脚本包含漏洞或内容安全策略绕过。(CVE-2020-26958)

  - Mozilla：DoH 未过滤 IPv4 映射的 IP 地址 (CVE-2020-26961)

  - Mozilla 开发人员 Randell Jesup、Christian Holler、Jason Kratzer、Byron Campen 和 Steve Fink 报告 Firefox 82 和 Firefox ESR 78.4 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测若攻击者付出足够努力，就能利用部分错误运行任意代码。(CVE-2020-26968)

  - Mozilla：可在不显示安全 UI 的情况下启用全屏 (CVE-2020-26953)

  - 在某些情况下，在清理期间删除 HTML 元素会保留现有 SVG 事件处理程序，并因此导致 XSS。(CVE-2020-26956)

  - 浏览器关闭期间，之前已释放的对象可能发生引用递减，从而导致释放后使用、内存损坏和潜在可利用的崩溃。(CVE-2020-26959)

  - Mozilla：使用 nsTArray 时存在潜在的释放后使用 (CVE-2020-26960)

  - Mozilla：软件键盘可能已记住键入的密码 (CVE-2020-26965)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2020-5237 公告中提及的多个漏洞的影响。

  - 当在未知跨源图像上绘制透明图像时，Skia 库 drawImage 函数所需时间不定，具体取决于底层图像的内容。这可导致通过时序边信道攻击，潜在的跨源图像内容信息泄露。(CVE-2020-16012)

  - Firefox 的 SVG 代码中的解析和事件加载不匹配可导致触发加载事件，即使在经过清理之后亦是如此。已经能够利用特权内部页面中的 XSS 漏洞的攻击者可以利用此攻击绕过我们的内置杀毒软件。(CVE-2020-26951)

  - 当通过 ServiceWorker 拦截和缓存响应时，Firefox 未阻止执行包含错误 MIME 类型的脚本。这可导致跨站脚本包含漏洞或内容安全策略绕过。(CVE-2020-26958)

  - Mozilla：DoH 未过滤 IPv4 映射的 IP 地址 (CVE-2020-26961)

  - Mozilla 开发人员 Randell Jesup、Christian Holler、Jason Kratzer、Byron Campen 和 Steve Fink 报告 Firefox 82 和 Firefox ESR 78.4 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测若攻击者付出足够努力，就能利用部分错误运行任意代码。(CVE-2020-26968)

  - Mozilla：可在不显示安全 UI 的情况下启用全屏 (CVE-2020-26953)

  - 在某些情况下，在清理期间删除 HTML 元素会保留现有 SVG 事件处理程序，并因此导致 XSS。(CVE-2020-26956)

  - 浏览器关闭期间，之前已释放的对象可能发生引用递减，从而导致释放后使用、内存损坏和潜在可利用的崩溃。(CVE-2020-26959)

  - Mozilla：使用 nsTArray 时存在潜在的释放后使用 (CVE-2020-26960)

  - Mozilla：软件键盘可能已记住键入的密码 (CVE-2020-26965)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

远程 Oracle Linux 7 主机上安装的程序包受到 ELSA-2020-5239 公告中提及的多个漏洞的影响。

  - 当在未知跨源图像上绘制透明图像时，Skia 库 drawImage 函数所需时间不定，具体取决于底层图像的内容。这可导致通过时序边信道攻击，潜在的跨源图像内容信息泄露。(CVE-2020-16012)

  - Firefox 的 SVG 代码中的解析和事件加载不匹配可导致触发加载事件，即使在经过清理之后亦是如此。已经能够利用特权内部页面中的 XSS 漏洞的攻击者可以利用此攻击绕过我们的内置杀毒软件。(CVE-2020-26951)

  - 当通过 ServiceWorker 拦截和缓存响应时，Firefox 未阻止执行包含错误 MIME 类型的脚本。这可导致跨站脚本包含漏洞或内容安全策略绕过。(CVE-2020-26958)

  - Mozilla：DoH 未过滤 IPv4 映射的 IP 地址 (CVE-2020-26961)

  - Mozilla 开发人员 Randell Jesup、Christian Holler、Jason Kratzer、Byron Campen 和 Steve Fink 报告 Firefox 82 和 Firefox ESR 78.4 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测若攻击者付出足够努力，就能利用部分错误运行任意代码。(CVE-2020-26968)

  - Mozilla：可在不显示安全 UI 的情况下启用全屏 (CVE-2020-26953)

  - 在某些情况下，在清理期间删除 HTML 元素会保留现有 SVG 事件处理程序，并因此导致 XSS。(CVE-2020-26956)

  - 浏览器关闭期间，之前已释放的对象可能发生引用递减，从而导致释放后使用、内存损坏和潜在可利用的崩溃。(CVE-2020-26959)

  - Mozilla：使用 nsTArray 时存在潜在的释放后使用 (CVE-2020-26960)

  - Mozilla：软件键盘可能已记住键入的密码 (CVE-2020-26965)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2020: 5236 公告中提及的多个漏洞的影响。

  - Mozilla：在 drawImage 调用期间，处理跨源图像所需时间不定 (CVE-2020-16012)

  - Mozilla：解析不匹配项可能会混淆并绕过 Chrome 特权代码的安全清除程序 (CVE-2020-26951)

  - Mozilla：可在不显示安全 UI 的情况下启用全屏 (CVE-2020-26953)

  - Mozilla：通过粘贴造成 XSS（手动和剪贴板 API）(CVE-2020-26956)

  - Mozilla：通过 ServiceWorkers 拦截的请求缺少 MIME 类型限制 (CVE-2020-26958)

  - Mozilla：WebRequestService 中存在释放后使用 (CVE-2020-26959)

  - Mozilla：使用 nsTArray 时存在潜在的释放后使用 (CVE-2020-26960)

  - Mozilla：DoH 未过滤 IPv4 映射的 IP 地址 (CVE-2020-26961)

  - Mozilla：软件键盘可能已记住键入的密码 (CVE-2020-26965)

  - Mozilla：在 Firefox 83 和 Firefox ESR 78.5 中已修复内存安全缺陷 (CVE-2020-26968)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2020:5257 公告中提及的多个漏洞的影响。

  - Mozilla：在 drawImage 调用期间，处理跨源图像所需的时间不定 (CVE-2020-16012)

  - Mozilla：解析不匹配项可能会混淆并绕过 Chrome 特权代码的安全清除程序 (CVE-2020-26951)

  - Mozilla：全屏可在不显示安全 UI 的情况下启用 (CVE-2020-26953)

  - Mozilla：通过粘贴（手动和剪贴板 API）可造成 XSS (CVE-2020-26956)

  - Mozilla：通过 ServiceWorkers 拦截的请求缺少 MIME 类型限制 (CVE-2020-26958)

  - Mozilla：WebRequestService 中存在释放后使用 (CVE-2020-26959)

  - Mozilla：使用 nsTArray 时存在潜在的释放后使用 (CVE-2020-26960)

  - Mozilla：DoH 未过滤 IPv4 映射的 IP 地址 (CVE-2020-26961)

  - Mozilla：软件键盘可能已记住键入的密码 (CVE-2020-26965)

  - Mozilla：Firefox 83 和 Firefox ESR 78.5 中的内存安全缺陷已修复 (CVE-2020-26968)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 CentOS Linux 6 主机上存在安装的程序包，该程序包受到 RHSA-2020:5238 公告中所述多个漏洞的影响。

  - Google Chrome 87.0.4280.66 之前版本的图形中存在边信道信息泄露问题，允许远程攻击者通过构建的 HTML 页面泄露跨源数据。(CVE-2020-16012)

  - Firefox 的 SVG 代码中的解析和事件加载不匹配可导致触发加载事件，即使在经过清理之后亦是如此。已经能够利用特权内部页面中的 XSS 漏洞的攻击者可以利用此攻击绕过我们的内置杀毒软件。此漏洞会影响 Firefox < 83、Firefox ESR < 78.5 和 Thunderbird < 78.5。(CVE-2020-26951)

  - 此漏洞可能会导致浏览器在不显示安全 UI 的情况下进入全屏模式；进而可能尝试进行网络钓鱼攻击，或以其他方式迷惑用户。此漏洞会影响 Firefox < 83、Firefox ESR < 78.5 和 Thunderbird < 78.5。(CVE-2020-26953)

  - 在某些情况下，在审查期间删除 HTML 元素会保留现有 SVG 事件处理程序，并因此导致 XSS。此漏洞会影响 Firefox < 83、Firefox ESR < 78.5 和 Thunderbird < 78.5。(CVE-2020-26956)

  - 当通过 ServiceWorker 拦截和缓存响应时，Firefox 未阻止执行包含错误 MIME 类型的脚本。这可导致跨站脚本包含漏洞或内容安全策略绕过。此漏洞会影响 Firefox < 83、Firefox ESR < 78.5 和 Thunderbird < 78.5。(CVE-2020-26958)

  - 浏览器关闭期间，之前已释放的对象可能发生引用递减，进而导致释放后使用、内存损坏和潜在可利用的崩溃。此漏洞会影响 Firefox < 83、Firefox ESR < 78.5 和 Thunderbird < 78.5。(CVE-2020-26959)

  - 如果在 nsTArray 上调用 Compact() 方法，则系统会在不更新其他指针的情况下重新分配数组，从而导致潜在释放后使用和可利用的崩溃。此漏洞会影响 Firefox < 83、Firefox ESR < 78.5 和 Thunderbird < 78.5。(CVE-2020-26960)

  - DNS over HTTPS 在使用期间会有意过滤响应中的 RFC1918 和相关 IP 范围，这是因为就 DoH 解析器而言，这些毫无意义。但是，当 IPv4 地址通过 IPv6 映射时，这些地址会被错误放行，从而导致潜在 DNS 重新绑定攻击。此漏洞会影响 Firefox < 83、Firefox ESR < 78.5 和 Thunderbird < 78.5。(CVE-2020-26961)

  - 部分网站具有显示密码功能，即单击按钮会将密码字段更改为明文字段，从而显示输入的密码。在使用能够记住用户输入的软件键盘时，如果用户输入其密码并使用该功能，则密码字段的类型会被更改，从而导致键盘布局改变，并且软件键盘可能会记住输入的密码。该漏洞影响 Firefox < 83、Firefox ESR < 78.5 和 Thunderbird < 78.5。
    (CVE-2020-26965)

  - Mozilla 开发人员报告 Firefox 82 和 Firefox ESR 78.4 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测如果攻击者进行足够的尝试，则可以利用此漏洞运行任意代码。此漏洞会影响 Firefox < 83、Firefox ESR < 78.5 和 Thunderbird < 78.5。(CVE-2020-26968)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机受到 GLSA-202012-03 中所述漏洞的影响（Mozilla Firefox：多个漏洞）

    在 Mozilla Firefox 中发现多个漏洞。请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    请查看供参考的 CVE 标识符，了解详细信息。
  变通方案：

    目前无任何已知的变通方案。

远程 Windows 主机上安装的 Firefox ESR 版本低于 78.5。因此，该应用程序受到 mfsa2020-51 公告中提及的多个漏洞的影响。

  - Mozilla 开发人员 Steve Fink、Jason Kratzer、Randell Jesup、Christian Holler 和 Byron Campen 报告了 Firefox 82 和 Firefox ESR 中存在的内存安全缺陷 78.4。其中某些错误展示出内存损坏迹象，我们推测若攻击者付出足够努力，就能利用部分错误运行任意代码。(CVE-2020-26968)

  - 在 Freetype 中如果 PNG 图像嵌入字体中 <code>LoadSBitPng</code> 函数包含一个整数溢出导致堆缓冲区溢出、内存损坏和可利用的崩溃。注意：
    虽然 Project Zero 确实发现此漏洞在通常环境中针对 Chrome 所利用的实例但在 Firefox 中此漏洞仅在切换很少使用的隐藏首选项时才可触发且仅影响 Linux 和 Android 操作系统。其他操作系统不受影响在默认配置中，Linux 和 Android 不受影响。 (CVE-2020-15999)

  - Firefox 的 SVG 代码中的解析和事件加载不匹配可导致触发加载事件，即使在经过清理之后亦是如此。已经能够利用特权内部页面中的 XSS 漏洞的攻击者可以利用此攻击绕过我们的内置杀毒软件。(CVE-2020-26951)

  - 在未知的跨源图像上绘制透明图像时Skia 库 <code>drawImage</code> 函数所需花费的时间会根据底层图像的内容而定。这可导致通过时序边信道攻击，潜在的跨源图像内容信息泄露。(CVE-2020-16012)

  - 可导致浏览器进入全屏模式而不显示安全 UI从而使得可能进行钓鱼攻击尝试或以其他方式混淆用户。 (CVE-2020-26953)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	Name	Product	Family	Published	Updated	Severity
146200	Oracle Linux 6：firefox (ELSA-2020-5257)	Nessus	Oracle Linux Local Security Checks	2/4/2021	10/22/2024	high
143365	RHEL 8：firefox (RHSA-2020: 5237)	Nessus	Red Hat Local Security Checks	11/30/2020	11/7/2024	high
143368	Oracle Linux 7：thunderbird (ELSA-2020-5235)	Nessus	Oracle Linux Local Security Checks	11/30/2020	10/22/2024	high
143377	Oracle Linux 8：firefox (ELSA-2020-5237)	Nessus	Oracle Linux Local Security Checks	12/1/2020	10/23/2024	high
143378	Oracle Linux 7：firefox (ELSA-2020-5239)	Nessus	Oracle Linux Local Security Checks	12/1/2020	10/23/2024	high
143276	RHEL 8：thunderbird (RHSA-2020: 5236)	Nessus	Red Hat Local Security Checks	11/30/2020	11/7/2024	high
143366	RHEL 6：firefox (RHSA-2020:5257)	Nessus	Red Hat Local Security Checks	11/30/2020	11/7/2024	high
208508	CentOS 6：thunderbird (RHSA-2020:5238)	Nessus	CentOS Local Security Checks	10/9/2024	10/9/2024	high
143494	GLSA-202012-03：Mozilla Firefox：多个漏洞	Nessus	Gentoo Local Security Checks	12/7/2020	2/7/2024	high
142913	Mozilla Firefox ESR < 78.5	Nessus	Windows	11/17/2020	11/18/2025	critical

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high

high

critical