Descrição
Várias vulnerabilidades sérias foram encontradas no Firefox e no Firefox ESR. Os usuários mal-intencionados podem explorar essas vulnerabilidades para obter privilégios, causar uma negação de serviço, ler e gravar arquivos locais, falsificar a interface do usuário e ignorar as restrições de segurança.
Abaixo está uma lista completa de vulnerabilidades:
- Uma vulnerabilidade de uso após liberação relacionada ao uso de nó destruído ao regenerar árvores pode ser explorada remotamente para causar uma negação de serviço;
- Uma vulnerabilidade de uso após a liberação relacionada ao recarregamento de docshell pode ser explorada remotamente para causar uma negação de serviço;
- Uma vulnerabilidade de uso após a liberação relacionada a operações de controle de vídeo com elementos de rastreamento pode ser explorada para causar uma negação de serviço;
- Uma vulnerabilidade de uso após a liberação relacionada aos ouvintes do visualizador de conteúdo pode ser explorada remotamente para causar uma negação de serviço;
- Uma vulnerabilidade de uso após liberação relacionada às interações do usuário com o editor de método de entrada (IME) pode ser explorada remotamente para causar uma negação de serviço;
- Uma vulnerabilidade de leitura fora dos limites relacionada a objetos ImageInfo no WebGL pode ser explorada remotamente para causar uma negação de serviço;
- Uma vulnerabilidade não especificada no Instalador do Firefox pode ser explorada remotamente através de arquivos dll especialmente projetados armazenados no mesmo diretório com um instalador enquanto ele estiver em execução para obter privilégios;
- Uma vulnerabilidade de uso depois de livre e de uso após escopo relacionada ao registro de erros de cabeçalho XHR pode ser explorada remotamente para causar uma negação de serviço;
- Uma vulnerabilidade de uso após-livre relacionada ao IndexedDB pode ser explorada remotamente para causar uma negação de serviço;
- Várias vulnerabilidades na biblioteca Graphite 2 podem ser exploradas remotamente para causar uma negação de serviço;
- Uma vulnerabilidade de leitura fora dos limites no codificador Opus pode ser explorada remotamente para causar uma negação de serviço;
- Um tratamento inadequado do parâmetro de retorno de chamada no Atualizador e Serviço de Manutenção do Mozilla Windows pode ser explorado remotamente através de um caminho especialmente projetado para obter privilégios, ler e gravar arquivos locais;
- Um gerenciamento inadequado de direitos de arquivo para um diretório temporário criado pelo aplicativo helper.exe do Mozilla Maintenance Service pode ser explorado remotamente para obter privilégios, ler e gravar arquivos locais;
- Um manuseio inadequado de silábicos canadenses e outros blocos unicode podem ser explorados remotamente para falsificar o domínio;
- Uma remoção indevida da seção de nome de usuário e senha dos URLs exibidos na barra de endereços pode ser explorada remotamente para falsificar a interface do usuário;
- Um manuseio inadequado de nomes extensos de arquivos durante o download de "Marca da Web" pode ser explorado remotamente para contornar as restrições de segurança;
- Um tratamento inadequado do conteúdo do updater.ini no Mozilla Windows Updater pode ser explorado remotamente para ler e gravar arquivos locais;
- Uma vulnerabilidade não especificada no Serviço de Manutenção Mozilla pode ser explorada remotamente para obter privilégios e gravar arquivos locais;
- Uma vulnerabilidade no Serviço de Manutenção do Mozilla, que permite que um usuário sem privilégios leia arquivos arbitrários de 32 bytes, pode ser explorada remotamente para contornar as restrições de segurança (proteções do sistema contra usuários sem privilégios);
- Múltiplas vulnerabilidades de corrupção de memória que ocorrem devido a bugs de segurança de memória podem ser exploradas remotamente para executar código arbitrário.
Detalhes técnicos
Vulnerabilidades 1-14 estão relacionadas para o Mozilla Firefox ESR.
Todas as vulnerabilidades estão relacionadas para o Mozilla Firefox.
NB: Essas vulnerabilidades não têm nenhuma classificação CVSS pública, portanto, a classificação pode ser alterada pelo tempo.
NB: Neste momento, a Mozilla acaba de reservar números CVE para essas vulnerabilidades. As informações podem ser alteradas em breve.
Comunicados originais
Lista de CVE
Saiba mais
Descubra as estatísticas das vulnerabilidades que se espalham em sua região statistics.securelist.com