CE SERVICE PEUT CONTENIR DES TRADUCTIONS GÉNÉRÉES PAR GOOGLE. GOOGLE DÉCLINE TOUTE GARANTIE, EXPLICITE OU IMPLICITE, Y COMPRIS LES GARANTIES D'EXACTITUDE, DE FIABILITÉ, AINSI QUE TOUTE GARANTIE IMPLICITE DE COMMERCIALISATION ET D'ADAPTATION À DES FINS PARTICULIÈRES ET À L'ABSENCE DE CONTREFAÇONS.

Le site internet de Kaspersky Lab a été traduit pour votre commodité en utilisant un logiciel de traduction générée par Google. Des efforts raisonnables ont été faits pour fournir une traduction exacte. Cependant, aucune traduction automatique n'est parfaite et l'objectif n'est pas de remplacer le travail des traducteurs. Le site internet de Kaspersky Lab fournit ces traductions comme un service pour ses utilisateurs, et elles ont été publiées "telles quelles". Aucune garantie, explicite ou implicite, n'est faite au sujet de l'exactitude, de fiabilité ou de conformité de ces traductions faites de l'anglais vers une autre langue. Certains contenus (images, vidéos, Flash, etc.) peuvent ne pas être traduits correctement à cause des limites du logiciel de traduction.

KLA11109
Vulnérabilités multiples dans Mozilla Firefox et Firefox ESR
Mis à jour: 07/05/2018
Date de la détection
?
09/28/2017
Sévérité
?
Critique
Description

Plusieurs vulnérabilités sérieuses ont été trouvées dans Firefox et Firefox ESR. Les utilisateurs malveillants peuvent exploiter ces vulnérabilités pour provoquer un déni de service, usurper l'interface utilisateur, contourner les restrictions de sécurité, obtenir des informations sensibles et effectuer des scripts inter-sites.

Voici une liste complète des vulnérabilités:

  1. Une vulnérabilité d'utilisation après libération liée à l'API Fetch peut être exploitée à distance pour provoquer un déni de service;
  2. Une vulnérabilité d'utilisation après libération liée aux éléments ARIA (Accessible Rich Internet Applications) peut être exploitée à distance pour provoquer un déni de service;
  3. Une vulnérabilité use-after-free peut être exploitée pour provoquer un déni de service;
  4. Une vulnérabilité de débordement de tampon liée à la bibliothèque graphique ANGLE peut être exploitée afin de provoquer un déni de service;
  5. Une vulnérabilité d'utilisation après libération liée à TLS 1.2 d peut être exploitée à distance pour provoquer un déni de service;
  6. Une vulnérabilité liée à blob: et data: les URL peuvent être exploitées à distance pour contourner les restrictions de sécurité;
  7. Une vulnérabilité liée au rendu de certaines polices OS X peut être exploitée à distance pour contourner les restrictions de sécurité;
  8. Une vulnérabilité liée à la directive sandbox de la stratégie de sécurité du contenu (CSP) peut être exploitée à distance pour effectuer des scripts intersites;
  9. Les failles de corruption de mémoire multiples qui se produisent à cause de bogues de sécurité de la mémoire peuvent être exploitées à distance pour exécuter du code arbitraire;
  10. Une vulnérabilité non spécifiée peut être exploitée à distance pour usurper l'interface utilisateur;
  11. Une vulnérabilité liée à la fonctionnalité Drag & Drop peut être exploitée à distance via un contenu de page spécialement conçu pour lire les fichiers locaux;
  12. Une vulnérabilité liée à l'analyseur JavaScript peut être potentiellement exploitée pour provoquer un déni de service ou obtenir des informations sensibles;
  13. Une vulnérabilité non spécifiée dans le data: le protocole peut être exploité à distance via des pages contenant une interface utilisateur iframe to spoof;
  14. Une vulnérabilité multiple liée au chargement de WebExtension peut être exploitée pour contourner les restrictions de sécurité;
  15. Une vulnérabilité liée à l'implémentation AES-GCM dans l'API WebCrypto peut être exploitée à distance pour obtenir des informations sensibles;
  16. Une vulnérabilité liée au mécanisme d'encapsulation Xray peut être exploitée à distance pour usurper l'interface utilisateur.

Détails techniques

Vulnérabilité (2) affecte seulement Firefox pour Android. Les autres systèmes d'exploitation ne sont pas affectés.

La vulnérabilité (3) survient en mode conception lors du redimensionnement des images.

Vulnérabilité (7) affecte uniquement le système d'exploitation OS X. Les autres systèmes d'exploitation ne sont pas affectés.

La vulnérabilité (14) n'affecte que Firefox pour Android. Les autres systèmes d'exploitation ne sont pas affectés.

La vulnérabilité (15) affecte uniquement les installations avec e10 multiprocess désactivé.

Les vulnérabilités 1-9 sont liées à Mozilla Firefox ESR.

Toutes les vulnérabilités sont liées à Mozilla Firefox.

NB: Toutes les vulnérabilités ne sont pas déjà notées CVSS, de sorte que la notation CVSS cumulative peut ne pas être représentative.

NB: Cette vulnérabilité n'a aucune cote CVSS publique, donc la notation peut être changée par le temps.

NB: À ce moment, Mozilla vient de réserver des numéros CVE pour ces vulnérabilités. L'information peut être changée bientôt.

Produits concernés

Versions de Mozilla Firefox antérieures à 56
Versions de Mozilla Firefox ESR antérieures à 52.4

Solution

Mettre à jour à la dernière version
Télécharger Mozilla Firefox ESR
Télécharger Mozilla Firefox

Fiches de renseignement originales

MSFA 2017-22
MSFA 2017-21

Impacts
?
RLF 
[?]

SUI 
[?]

OSI 
[?]

XSSCSS 
[?]

SB 
[?]

DoS 
[?]
Produits liés
Mozilla Firefox ESR
Mozilla Firefox
CVE-IDS
?

CVE-2017-7811
CVE-2017-7820
CVE-2017-7822
CVE-2017-7821
CVE-2017-7816
CVE-2017-7815
CVE-2017-7813
CVE-2017-7812
CVE-2017-7817
CVE-2017-7810
CVE-2017-7823
CVE-2017-7825
CVE-2017-7814
CVE-2017-7805
CVE-2017-7824
CVE-2017-7819
CVE-2017-7818
CVE-2017-7793


Lien vers l'original