Popis
V aplikaci Mozilla Firefox ESR bylo nalezeno několik závažných chyb. Škodlivé uživatele mohou tyto chyby zabezpečení zneužít k vynechání bezpečnostních omezení, získání citlivých informací, spouštění libovolného kódu, případně způsobení odmítnutí služby, získání privilegií nebo provádění injekcí s kódem.
Níže je uveden kompletní seznam chyb zabezpečení:
- Neznámá zranitelnost může být vzdáleně využívána značkami značky, aby se vyhnuli bezpečnostním omezením a umožnilo inline JavaScript;
- Poškození paměti při používání funkcí WebGL obsahující vektorový konstruktor s různým polí v rámci libGLES může být vzdáleně využíváno a může způsobit odmítnutí služby;
- Bezproblémová použití v Editoru při provádění manipulací s substráty DOM může být vzdáleně využívána a může způsobit odmítnutí služby;
- Neznámá zranitelnost může být vzdáleně využívána prostřednictvím vytvořených obrázků SVG a využívání dat: adresy URL k vynechání bezpečnostních omezení a získání citlivých informací;
- Uživatelé se zlými úmysly mohou pomocí útoku na mapování / nastavování jazyka JavaScript nastavit, zda je atom používán v konkrétním kontextu jiným oddílem nebo zónou. To lze provést pro získání citlivých informací (například uživatelské jména vložená do kódu JavaScript);
- Chyba, která se vyskytuje během EnumerateDocuments při přidávání / odebírání souborů, může být vzdáleně využívána a může způsobit odmítnutí služby;
- Nesprávně dezinfikované údaje z Pocket Serveru před spuštěním mohou mít za následek možnost vkládání HTML a přístup k API zpráv Pocket;
- V důsledku nesprávné validace nebo původu příchozích událostí přijatých rozšířením Pocket mohou uživatelé se zlými úmysly způsobit požární události, kódování a příkazy injekcí;
- Bezpečnostní paměťové chyby lze využít k spuštění libovolného kódu.
Technické údaje
Chyba zabezpečení (8) neovlivňuje uživatele, kteří povolili e10.
Pozn .: Tato zranitelnost nemá žádný veřejný rating CVSS, aby bylo možné měnit jeho hodnocení v čase.
Poznámka: V tuto chvíli Mozilla právě rezervovala čísla CVE pro tyto chyby zabezpečení. Informace lze brzy změnit.
Oficiální doporučení
Související produkty
seznam CVE
Zobrazit více
Zjistěte statistiky zranitelností šířících se ve vaší oblasti statistics.securelist.com