KLA10654
Mozilla Firefox ve Firefox ESR'deki birden fazla güvenlik açığı

Firefox'ta birden fazla ciddi güvenlik açığı bulundu. Kötü amaçlı kullanıcılar bu güvenlik açıklarından yararlanabilir ve hizmet reddine, güvenlik sınırlamalarını atlatmaya veya isteğe bağlı kod yürütmeye neden olabilir.

Aşağıda güvenlik açıklarının tam listesi

1. Kullanım-sonrası ücretsiz güvenlik açığı, hizmet reddine veya rasgele kod yürütmesine neden olmak için özel olarak tasarlanmış bir web sayfası aracılığıyla uzaktan kullanılabilir;
2. Eklenti kurulum mekanizmasındaki kısıtlamaların eksikliği, güvenlik kısıtlamalarını atlamak için özel olarak tasarlanmış bir web sayfası aracılığıyla uzaktan kullanılabilir.

Teknik detaylar

(1) özel olarak tasarlanmış bir <canvas> elemanı ile kullanılabilir. Orijinal tuval referansının rekreasyonuna neden olan stil değişikliklerine sahip etkinlik kombinasyonlarını yeniden boyutlandırırken oluşur.

Normalde kullanıcı URL'yi bir eklentiye girdiğinde, doğrudan kullanıcı eyleminin bir sonucu olduğu için doğrudan uyarılar atlanır. data: URL, istismar edilmek üzere doğrudan kullanıcı girdisini simüle etmek için manipüle edilebilir (2) . Ayrıca, kullanıcının yükleme işlemini güvenilir site tarafından başlatıldığına inanarak kullanıcıyı yönlendirmesi için URL taklit edilebilir.

Mozilla Firefox sürümleri 40.0.3'ten önceki
Mozilla Firefox ESR 38.2.1'den önceki sürümleri

En son sürüme güncelle
Firefox ESR'yi edinin
Firefox'u edinin

MFSA-2015-94
MFSA-2015-95

CVE-2015-4497
CVE-2015-4498