Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] Firefox 131.0.2, ESR 128.3.1/115.16.1 opravuje kritickú a aktívne zneužívanú zraniteľnosť
Mozilla vo verziách 131.0.2, 115.16.1 (ESR) a 128.3.1 (ESR) opravuje aktívne zneužívanú kritickú zraniteľnosť v produkte Firefox [1]. Z operačných systémov zraniteľnosť opravil Slackware vo verzii 15.0 [2], Gentoo má niektoré opravené verzie dostupné ako stabilné a niektoré ako testovacie [3], Red Hat má opravy k dispozícii [4]. Ubuntu vydalo opravenú verziu 131.0.2+build1-0ubuntu0.20.04.1 pre Focal 20.04 LTS. Jammy 22.04 LTS a Noble 24.04 LTS používajú snap, a teda nie sú postihnuté [5]. Debian vydal opravy pre Firefox vo verzii 131.0.2-1, Firefox (ESR) vo vydaní bullseye vo verzii 128.3.1esr-1~deb11u1 a bookworm vo verzii 128.3.1esr-1~deb12u1 [6].
Neautentizovanému vzdialenému útočníkovi je umožnené vykonať kód v procese spracovania obsahu prostredníctvom zraniteľnosti typu use-after-free [1][7][8].
Zraniteľnosť sa nachádza v produktoch:
- Firefox; < 131.0.2
- Firefox ESR; < 128.3.1
- Firefox ESR; < 115.16.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2024-9680 na cve.org, NVD
- CWE-416: Use After Free na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 9. 10. 2024.
Odkazy
- [1] https://www.mozilla.org/en-US/security/advisories/mfsa2024-51/
- [2] http://www.slackware.com/security/viewer.php?l=slackware-security&y=2024&m=slackware-security.385911
- [3] https://packages.gentoo.org/packages/www-client/firefox
- [4] https://access.redhat.com/security/cve/cve-2024-9680
- [5] https://ubuntu.com/security/CVE-2024-9680
- [6] https://security-tracker.debian.org/tracker/CVE-2024-9680
- [7] https://github.com/advisories/GHSA-hm3j-qgpw-pj98
- [8] https://www.bleepingcomputer.com/news/security/mozilla-fixes-firefox-zero-day-actively-exploited-in-attacks/
Za CESNET, z.s.p.o. Michaela Ručková dňa 17. 10. 2024.