Você não diz qual versão do Debian você está usando. Observe também que pode usar o repositório próprio da Mozilla em vez de um tarball.
O tarball do Mozilla não tem dependências com pacotes xulrunner nem libmozjs; você pode, na verdade, desinstalar os dois sem quebrar nenhuma dependência (a menos que você também tenha o Iceweasel instalado).
Sempre que você está recebendo atualizações de segurança, elas vêm do Mozilla, não do Debian.