Descripción
Se han encontrado múltiples vulnerabilidades graves en Firefox ESR y Firefox. Los usuarios malintencionados pueden explotar estas vulnerabilidades para obtener privilegios, provocar una denegación de servicio, leer y escribir archivos locales, falsificar la interfaz de usuario y eludir las restricciones de seguridad.
A continuación hay una lista completa de vulnerabilidades:
- Una vulnerabilidad de uso después de la liberación relacionada con el uso del nodo destruido al regenerar árboles puede explotarse remotamente para causar una denegación de servicio;
- Una vulnerabilidad de uso después de la liberación relacionada con la recarga de docshell se puede explotar de forma remota para causar una denegación de servicio;
- Una vulnerabilidad de uso después de la liberación relacionada con las operaciones de control de video con elementos de seguimiento puede aprovecharse para causar una denegación de servicio;
- Una vulnerabilidad de uso después de la liberación relacionada con los oyentes del visor de contenido puede explotarse remotamente para causar una denegación de servicio;
- Una vulnerabilidad de uso después de la liberación relacionada con las interacciones del usuario con el editor de métodos de entrada (IME) se puede explotar de forma remota para provocar una denegación de servicio;
- Una vulnerabilidad de lectura fuera de límites relacionada con los objetos ImageInfo en WebGL puede explotarse remotamente para causar una denegación de servicio;
- Una vulnerabilidad no especificada en el instalador de Firefox se puede explotar de forma remota a través de archivos dll especialmente diseñados almacenados en el mismo directorio con un instalador mientras se ejecuta para obtener privilegios;
- Las vulnerabilidades de uso después de liberación y uso después del alcance relacionadas con el registro de errores de encabezado XHR se pueden explotar de forma remota para provocar una denegación de servicio;
- Una vulnerabilidad de uso después de la libre relacionada con IndexedDB puede explotarse remotamente para causar una denegación de servicio;
- Las vulnerabilidades múltiples en la biblioteca de Graphite 2 se pueden explotar remotamente para causar una denegación de servicio;
- Una vulnerabilidad de lectura fuera de límites en el codificador Opus se puede explotar remotamente para causar una denegación de servicio;
- Un manejo inadecuado del parámetro de devolución de llamada en el servicio de actualización y mantenimiento de Mozilla Windows se puede explotar de forma remota a través de una ruta especialmente diseñada para obtener privilegios, leer y escribir archivos locales;
- Una gestión de derechos de archivo incorrecta para un directorio temporal creado por la aplicación helper.exe de Mozilla Maintenance Service se puede explotar de forma remota para obtener privilegios, leer y escribir archivos locales;
- Un manejo incorrecto de Syllabics canadienses y otros bloques Unicode se puede explotar remotamente para suplantar el dominio;
- Una eliminación inadecuada de la sección de nombre de usuario y contraseña de las URL que se muestran en la barra de direcciones se puede explotar de forma remota para suplantar la interfaz de usuario;
- Un manejo inadecuado de nombres de archivos largos al descargar "Marca de la Web" se puede explotar de forma remota para eludir las restricciones de seguridad;
- Un manejo inadecuado de los contenidos de updater.ini en Mozilla Windows Updater se puede explotar de forma remota para leer y escribir archivos locales;
- Una vulnerabilidad no especificada en el servicio de mantenimiento de Mozilla se puede explotar de forma remota para obtener privilegios y escribir archivos locales;
- Una vulnerabilidad en el servicio de mantenimiento de Mozilla que permite a un usuario sin privilegios leer archivos arbitrarios de 32 bytes puede explotarse remotamente para eludir las restricciones de seguridad (protecciones del sistema contra usuarios sin privilegios);
- Varias vulnerabilidades de corrupción de memoria que ocurren debido a errores de seguridad de la memoria se pueden explotar de forma remota para ejecutar código arbitrario.
Detalles técnicos
Las vulnerabilidades 1-14 están relacionadas para Mozilla Firefox ESR.
Todas las vulnerabilidades están relacionadas con Mozilla Firefox.
Nota: Estas vulnerabilidades no tienen ninguna calificación pública de CVSS, por lo que la clasificación puede cambiarse por el tiempo.
NB: En este momento, Mozilla acaba de reservar números CVE para estas vulnerabilidades. La información puede cambiarse pronto.
Notas informativas originales
Lista CVE
Leer más
Conozca las estadísticas de las vulnerabilidades que se propagan en su región statistics.securelist.com