• ひとことでFirefox などで、細工したページから任意のプログラムを動かされる弱点です。
  • 深刻度9.8 緊急CVSS v3.1
  • まずやることFirefox を 3.6.12 以降に更新する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2010-3765
製品Mozilla Multiple Products
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2025-10-06
米国政府機関の対応期限2025-10-27
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）不明

何が起きた

Mozilla の Firefox、SeaMonkey、Thunderbird で、JavaScript が有効なときにメモリが壊れる弱点が見つかり、実際の悪用が確認されています。ネットワーク経由で、ログインしていない攻撃者が悪用できます。複数のフレームを作るなどの細工をした内容を読み込ませることで、攻撃者が選んだ任意のプログラムを動かされるおそれがあります。Mozilla によると、Windows XP 上の Firefox 3.6 を狙った攻撃が、侵入の調査中に見つかっていました。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工したページを用意する → 2. JavaScript で複数のフレームを作らせる → 3. ブラウザーのメモリが壊れる → 4. 任意のプログラムが動かされる1攻撃者が細工したページを用意する2JavaScript で複数のフレームを作らせる3ブラウザーのメモリが壊れる4任意のプログラムが動かされる攻撃の流れ: 1. 攻撃者が細工したページを用意する → 2. JavaScript で複数のフレームを作らせる → 3. ブラウザーのメモリが壊れる → 4. 任意のプログラムが動かされる1攻撃者が細工したページを用意する2JavaScript で複数のフレームを作らせる3ブラウザーのメモリが壊れる4任意のプログラムが動かされる攻撃の流れ: 1. 攻撃者が細工したページを用意する → 2. JavaScript で複数のフレームを作らせる → 3. ブラウザーのメモリが壊れる → 4. 任意のプログラムが動かされる1攻撃者が細工したページを用意する2JavaScript で複数のフレームを作らせる3ブラウザーのメモリが壊れる4任意のプログラムが動かされる

誰が影響を受ける

NVD の説明では、Firefox 3.5.x から 3.5.14、3.6.x から 3.6.11、Thunderbird 3.0.x の 3.0.10 より前、SeaMonkey 2.x の 2.0.10 より前などが対象です。Mozilla によると、弱点そのものは Firefox 3.5 と 3.6 の両方の系統にあり、対応するすべての OS に影響していました。

何をすればいい

Mozilla の公式の案内を確認してください。修正版は Firefox 3.5.15 と 3.6.12、SeaMonkey 2.0.10、Thunderbird 3.0.10 と 3.1.6 です。これらより古い版を使っていないか確認し、修正版以降に更新してください。

やることチェックリスト

  • Firefox を 3.6.12 以降に更新する
  • Thunderbird を 3.1.6 以降に更新する
  • SeaMonkey を 2.0.10 以降に更新する

用語メモ

JavaScript 用語集で見る
Web ページに動きを付けるためのプログラムの言語です。ブラウザーやメールソフトの中で動きます。
フレーム
1つの Web ページの中に、別のページを入れて表示するための仕組みです。
任意のプログラム 用語集で見る
攻撃者が好きに選んで動かせるプログラムのことです。

次に読む

同じ製品・メーカーの脆弱性Mozilla Firefox（CVE-2024-9680）9.8 緊急CVSS v3.1Firefox のアニメーション処理で、解放済みのメモリを使ってしまう弱点です。同じ製品・メーカーの脆弱性Mozilla Firefox, Firefox ESR, and Thunderbird（CVE-2016-9079）7.5 重要CVSS v3.1Firefox と Thunderbird の画像アニメーション処理に、解放済みメモリを使う弱点基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Mozilla Multiple Products Remote Code Execution Vulnerability

概要

Mozilla Firefox, SeaMonkey, and Thunderbird contain an unspecified vulnerability when JavaScript is enabled. This allows remote attackers to execute arbitrary code via vectors related to nsCSSFrameConstructor::ContentAppended, the appendChild method, incorrect index tracking, and the creation of multiple frames, which triggers memory corruption.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る