[TLP:CLEAR] Mozilla Firefox opravuje 9 zraniteľností

Mozilla verziami 130, 128.2 (ESR), 115.15 (ESR) opravuje 9 zraniteľností v produkte Firefox [1][2][3]. Z operačných systémov zraniteľnosti opravil Debian (niektoré vydania) [4], Slackware [5], Gentoo má niektoré opravené verzie dostupné ako stabilné a niektoré ako testovacie [6] a Ubuntu vydalo opravenú verziu 130.0+build2-0ubuntu0.20.04.1 pre vydanie focal, zvyšné vydania zraniteľnosťami nie sú postihnuté [7]. Nižšie sú uvedené iba najzávažnejšie zraniteľnosti. Detailný výpis zraniteľných verzií u každej zraniteľnosti je možné nájsť na stránke VA2AM. Jednotlivé vydania Debianu a opravené verzie: bullseye (security) - 115.15.0esr-1~deb11u1 bookworm (security) - 115.15.0esr-1~deb12u1 sid, trixie - 115.15.0esr-1 sid - 130.0-2

Firefox - type confusion (CVE-2024-8381)
CVSS 9.8 (Critical)

Neautentizovanému vzdialenému útočníkovi je umožnené neoprávnene pristupovať do pamäte, čím môže dôjsť k poškodeniu dát, neoprávnenému čítaniu informácií, DoS útoku a potenciálne k spúšťaniu kódu [8][1][2][3].

Zraniteľnosť sa nachádza v produkte:

  • Firefox; >=115, <115.5; >=128, <128.2; >=129, <130;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 3. 9. 2024.

Firefox - type confusion (CVE-2024-8385)
CVSS 9.8 (Critical)

Neautentizovanému vzdialenému útočníkovi je umožnené neoprávnene pristupovať do pamäte, čím môže dôjsť k poškodeniu dát, neoprávnenému čítaniu informácií, DoS útoku a potenciálne k spúšťaniu kódu [9][1][2][3].

Zraniteľnosť sa nachádza v produkte:

  • Firefox; >=128, <128.2; >=129, <130;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 3. 9. 2024.

Firefox - memory corruption, RCE (CVE-2024-8387)
CVSS 9.8 (Critical)

Neautentizovanému vzdialenému útočníkovi je umožnené poškodiť dáta v pamäti a potenciálne spôsobiť neoprávnené spúšťanie kódu [10][1][2][3].

Zraniteľnosť sa nachádza v produkte:

  • Firefox; >=128, <128.2 ; >=129, <130;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

  • CVE-2024-8387 na cve.org, NVD
  • CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 3. 9. 2024.

Firefox - memory corruption, RCE (CVE-2024-8389)
CVSS 9.8 (Critical)

Neautentizovanému vzdialenému útočníkovi je umožnené poškodiť dáta v pamäti a potenciálne spôsobiť neoprávnené spúšťanie kódu [11][1][2][3].

Zraniteľnosť sa nachádza v produkte:

  • Firefox; >=129, <130;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

  • CVE-2024-8389 na cve.org, NVD
  • CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 3. 9. 2024.

Za CESNET, z.s.p.o. Martin Krajči dňa 10. 9. 2024.

CESNET, z.s.p.o. Logo