Popis
V Mozille Firefox bylo nalezeno několik závažných chyb. Škodlivé uživatele mohou tyto chyby zabezpečení zneužít k vynechání bezpečnostních omezení, získání citlivých informací, spouštění libovolného kódu, případně způsobení odmítnutí služby, získání privilegií nebo provádění injekcí s kódem.
Níže je uveden kompletní seznam chyb zabezpečení:
- Přetečení bufferu v SkiaGL může být vzdáleně využito k odmítnutí služby;
- Neznámá zranitelnost může být vzdáleně využívána značkami značky, aby se vyhnuli bezpečnostním omezením a umožnilo inline JavaScript;
- Bezplatná zranitelnost v rámci služby WebVR může být vzdáleně využívána s neznámým dopadem;
- Poškození paměti při používání funkcí WebGL obsahující vektorový konstruktor s různým polí v rámci libGLES může být vzdáleně využíváno a může způsobit odmítnutí služby;
- Bezproblémová použití v Editoru při provádění manipulací s substráty DOM může být vzdáleně využívána a může způsobit odmítnutí služby;
- Neznámá zranitelnost může být vzdáleně využívána prostřednictvím vytvořených obrázků SVG a využívání dat: adresy URL k vynechání bezpečnostních omezení a získání citlivých informací;
- Uživatelé se zlými úmysly mohou pomocí útoku na mapování / nastavování jazyka JavaScript nastavit, zda je atom používán v konkrétním kontextu jiným oddílem nebo zónou. To lze provést pro získání citlivých informací (například uživatelské jména vložená do kódu JavaScript);
- Nesprávně dezinfikované údaje z Pocket Serveru před spuštěním mohou mít za následek možnost vkládání HTML a přístup k API zpráv Pocket;
- Kvůli nesprávnému ověření původu příchozích událostí přijatých rozšířením Pocket mohou uživatelé se zlými úmysly způsobit požární události, kód injekce a příkazy;
- Chyba zabezpečení pro vkládání HTML v sadě doplňků Mozilla Add-ons lze vzdáleně využít, aby se obsah a skripty vložily do kontextu doplňku.
- Bezpečnostní paměťové chyby lze využít k provedení libovolného kódu.
Technické údaje
Chyba zabezpečení (9) neovlivňuje uživatele, kteří povolili e10.
Pozn .: Tato zranitelnost nemá žádný veřejný rating CVSS, aby bylo možné měnit jeho hodnocení v čase.
Poznámka: V tuto chvíli Mozilla právě rezervovala čísla CVE pro tyto chyby zabezpečení. Informace lze brzy změnit.
Oficiální doporučení
Související produkty
seznam CVE
Zobrazit více
Zjistěte statistiky zranitelností šířících se ve vaší oblasti statistics.securelist.com