Вы не говорите, какую версию Debian вы используете. Также обратите внимание, что вместо tarball можно использовать собственный репозиторий Mozilla .
Тарбол от Mozilla не имеет зависимостей ни от пакетов xulrunner, ни от libmozjs; вы можете фактически удалить их обоих, не нарушая никаких зависимостей (если у вас также не установлен Iceweasel).
Всякий раз, когда вы получаете обновления безопасности, они приходят от Mozilla, а не от Debian.