firefox-102.5.0-1.0.1.el7.AXS7

以下項目について対処しました。

[Security Fix]
- Firefox および Thunderbird には、サービスワーカーが範囲要求と
組み合わせたクロスオリジンメディアのタイミング情報から、メディア
ファイルの存在や長さを特定可能な脆弱性が存在します。(CVE-2022-45403)

- Firefox および Thunderbird には、一連のポップアップと window.print() の
呼び出しにより、ユーザーに通知プロンプトを表示せずにウィンドウを
フルスクリーンにできる問題があるため、ユーザーの混乱やなりすまし
攻撃を可能とする脆弱性が存在します。(CVE-2022-45404)

- Firefox および Thunderbird には、任意の nsIInputStream を生成した
スレッドとは別のスレッドで解放した際に、解放後利用が発生する問題が
あるため、クラッシュを可能とする脆弱性が存在します。(CVE-2022-45405)

- Firefox および Thunderbird には、JavaScript レルムへの参照が
BaseShape に存在している間に JavaScript レルムが削除されてしまう
問題があるため、リモートの攻撃者により、メモリが不足している状況下
での JavaScript グローバルオブジェクトの作成を介して、クラッシュの
発生とこれに起因するサービス拒否攻撃を可能とする脆弱性が存在します。
(CVE-2022-45406)

- Firefox および Thunderbird には、利用者への通知をせずにウィンドウを
全画面表示にしてしまう問題があるため、リモートの攻撃者により、
windowName を再利用する一連のポップアップを介して、利用者の混乱や
これに起因するスプーフィング攻撃を可能とする脆弱性が存在します。
(CVE-2022-45408)

- Firefox および Thunderbird には、特定の状態下においてガベージ
コレクターが中断し GCRuntime::finishCollection が呼び出されない
ことに起因するメモリ領域の解放後利用の問題があるため、リモートの
攻撃者により、クラッシュの発生とこれに起因するサービス拒否攻撃を
可能とする脆弱性が存在します。(CVE-2022-45409)

- Firefox および Thunderbird の ServiceWorker には、FetchEvent で
リクエストを受信した際にリクエスト元を見失う問題があるため、
リモートの攻撃者により、SameSite クッキー保護の無効化を可能とする
脆弱性が存在します。(CVE-2022-45410)

- Firefox および Thunderbird には、X-Http-Method-Override のような
標準に準拠していない HTTP ヘッダーを解釈してしまう問題があるため、
リモートの攻撃者により、クロスサイトスクリプティング攻撃を可能と
する脆弱性が存在します。(CVE-2022-45411)

- Firefox および Thunderbird には、file:///proc/self/fd/1 のような
シンボリックリンクの解決時に初期化されていないメモリの内容を含む
エラーメッセージを生成してしまう問題があるため、リモートの攻撃者に
より、情報漏洩を可能とする脆弱性が存在します。(CVE-2022-45412)

- Firefox および Thunderbird には、キーボードイベント処理時に固定的で
広く知れ渡ったアドレス内の "KeyA" のような文字列を参照する仕様が
あるため、リモートの攻撃者により、Prime+Probe 攻撃のようなキャッシュ
ベースのタイミング攻撃を介して、押下したキーの特定を可能とする
脆弱性が存在します。(CVE-2022-45416)

- Firefox および Thunderbird には、特定の状況下においてマウス
カーソルがブラウザの UI 上に表示される問題があるため、リモートの
攻撃者により、カスタムマウスカーソルを指定するように細工した
CSS を介して、利用者の混乱やこれに起因するスプーフィング攻撃を
可能とする脆弱性が存在します。(CVE-2022-45418)

- Firefox および Thunderbird には、iframe 内のコンテンツを iframe の
欄外に表示してしまう問題があるため、リモートの攻撃者により、
細工した iframe のコンテンツを介して、利用者の混乱やこれに起因する
スプーフィング攻撃を可能とする脆弱性が存在します。(CVE-2022-45420)

- Firefox および Thunderbird には、メモリ破壊の問題があるため、
リモートの攻撃者により、任意のコード実行を可能とする脆弱性が
存在します。(CVE-2022-45421)