ESTE SERVIÇO PODE CONTER TRADUÇÕES FEITAS PELO GOOGLE. O GOOGLE SE ISENTA DE TODAS AS GARANTIAS RELACIONADAS ÀS TRADUÇÕES, EXPRESSAS OU IMPLÍCITAS, INCLUINDO QUALQUER RESPONSABILIDADE EM RELAÇÃO À PRECISÃO, CONFIABILIDADE E QUALQUER DEVER IMPLÍCITO SOBRE SUA COMERCIALIZAÇÃO, ADEQUAÇÃO PARA UM FIM ESPECÍFICO E NÃO-VIOLAÇÃO.

Para sua conveniência, o site da Kaspersky Lab foi traduzido com a utilização do software de tradução Google Tradutor. Foram realizados esforços razoáveis para o oferecimento de uma tradução precisa; entretanto, as traduções automatizadas não são perfeitas e tampouco pretendem substituir a tradução qualificada de especialistas. Essas traduções são fornecidas como um serviço para os usuários do site da Kaspersky Lab e são exibidas "como estão". Não há nenhuma garantia de qualquer tipo, seja expressa ou implícita, sobre a precisão, confiabilidade, ou exatidão de quaisquer traduções feitas do inglês para qualquer outro idioma. Alguns conteúdos (como imagens, vídeos, Flash, etc.) podem não estar corretamente traduzidos devido às limitações do programa de tradução.

KLA10913
Múltiplas vulnerabilidades no Mozilla Firefox ESR
Atualizado: 07/05/2018
Data de detecção
?
12/13/2016
Nível de gravidade
?
Crítico
Descrição

Múltiplas vulnerabilidades sérias foram encontradas no Mozilla Firefox ESR. Usuários mal-intencionados podem explorar essas vulnerabilidades para contornar restrições de segurança, obter informações confidenciais, executar código arbitrário, possivelmente causar negação de serviço, ganhar privilégios ou fazer injeções de código.

Abaixo está uma lista completa de vulnerabilidades:

  1. Uma vulnerabilidade desconhecida pode ser explorada remotamente através de tags de letreiro para ignorar restrições de segurança e permitir JavaScript inline;
  2. Corrupção de memória ao usar funções WebGL contendo construtor vetorial com uma matriz variável dentro de libGLES pode ser explorada remotamente e possivelmente causar negação de serviço;
  3. A vulnerabilidade de uso após a liberação no Editor enquanto executa manipulações com subárvores DOM pode ser explorada remotamente e possivelmente causar negação de serviço;
  4. Uma vulnerabilidade desconhecida pode ser explorada remotamente por meio de imagens SVG criadas e uso de dados: URLs para ignorar restrições de segurança e obter informações confidenciais;
  5. Os usuários mal-intencionados podem usar um ataque de tempo de Mapeamento / Definição de JavaScript para descobrir se um átomo é usado em contextos específicos por outro compartimento ou zona. Isso pode ser executado para obter informações confidenciais (por exemplo, nomes de usuário incorporados no código JavaScript);
  6. Um erro ocorrendo enquanto em EnumerateDocuments enquanto adicionar / remover arquivos pode ser explorado remotamente e possivelmente causar negação de serviço;
  7. Dados inadequadamente higienizados do Pocket Server antes da execução podem resultar na possibilidade de injeção de HTML e acesso à API de mensagens do Pocket;
  8. Devido à validação ou origem imprópria de eventos recebidos recebidos pela extensão Pocket, os usuários mal-intencionados podem disparar eventos, injetar códigos e comandos;
  9. Erros de segurança de memória podem ser explorados para executar código arbitrário.

Detalhes técnicos

Vulnerabilidade (8) não afeta usuários, que ativaram e10s.

NB: Esta vulnerabilidade não tem classificação CVSS pública, portanto, a classificação pode ser alterada no momento.

NB: Neste momento, a Mozilla apenas reservou números CVE para essas vulnerabilidades. As informações podem ser alteradas em breve.

Produtos afetados

Mozilla Firefox ESR 45.5.1

Solução

Atualize para a versão mais recente
Faça o download do Mozilla Firefox ESR

Comunicados originais

Mozilla Foundation Security Advisory 2016-95

Impactos
?
CI 
[?]

OSI 
[?]

SB 
[?]

PE 
[?]

DoS 
[?]
Produtos relacionados
Mozilla Firefox ESR
Mozilla Firefox
CVE-IDS
?

CVE-2016-9902
CVE-2016-9901
CVE-2016-9893
CVE-2016-9905
CVE-2016-9904
CVE-2016-9900
CVE-2016-9898
CVE-2016-9897
CVE-2016-9895
CVE-2016-9899


Link para o original