Description
Plusieurs vulnérabilités sérieuses ont été trouvées dans Mozilla Firefox. Les utilisateurs malveillants peuvent exploiter ces vulnérabilités pour contourner les restrictions de sécurité, obtenir des informations sensibles, exécuter du code arbitraire, provoquer un déni de service, obtenir des privilèges ou effectuer des injections de code.
Voici une liste complète des vulnérabilités:
- Un débordement de tampon dans SkiaGL peut éventuellement être exploité à distance pour provoquer un déni de service;
- Une vulnérabilité inconnue peut être exploitée à distance via des tags de marque pour contourner les restrictions de sécurité et permettre le JavaScript en ligne;
- Une vulnérabilité gratuite après utilisation dans WebVR peut être exploitée à distance avec un impact inconnu;
- La corruption de la mémoire lors de l'utilisation de fonctions WebGL contenant un constructeur vectoriel avec un tableau variable dans libGLES peut être exploitée à distance et provoquer un déni de service;
- La vulnérabilité Use-after-free dans l'Editeur lors de manipulations avec les sous-arborescences DOM peut être exploitée à distance et provoquer un déni de service;
- Une vulnérabilité inconnue peut être exploitée à distance via des images SVG spécialement conçues et l'utilisation de données: des URL pour contourner les restrictions de sécurité et obtenir des informations sensibles;
- Les utilisateurs malveillants peuvent utiliser une attaque de synchronisation de carte / ensemble JavaScript pour déterminer si un atome est utilisé dans des contextes spécifiques par un autre compartiment ou une autre zone. Cela peut être effectué pour obtenir des informations sensibles (par exemple, les noms d'utilisateurs incorporés dans le code JavaScript);
- Une mauvaise imprégnation des données de Pocket Server avant l'exécution peut entraîner la possibilité d'injection HTML et l'accès à l'API de messagerie de Pocket;
- En raison d'une mauvaise validation de l'origine des événements entrants reçus par l'extension Pocket, les utilisateurs malveillants peuvent déclencher des événements, injecter du code et des commandes;
- Une vulnérabilité d'injection HTML dans les modules complémentaires SDK Mozilla peut être exploitée à distance pour injecter du contenu et des scripts dans le contexte d'un module complémentaire;
- Les bogues de sécurité de la mémoire peuvent être exploités pour exécuter du code arbitraire.
Détails techniques
La vulnérabilité (9) n'affecte pas les utilisateurs qui ont activé les e10.
NB: Cette vulnérabilité n'a pas d'évaluation CVSS publique, donc la notation peut être changée par le temps.
NB: À ce moment, Mozilla a réservé des numéros CVE pour ces vulnérabilités. L'information peut être changée bientôt.
Fiches de renseignement originales
Liste CVE
En savoir plus
Découvrez les statistiques de la propagation des vulnérabilités dans votre région statistics.securelist.com