Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] Mozilla Firefox a Thunderbird opravují 11 zranitelností
Mozilla opravuje 11 zranitelností v produktech Thunderbird, Firefox a Firefox ESR [1][2][3][4][5]. Nejzávažnější zranitelnosti jsou uvedeny níže. Jednotlivé produkty a jejich opravené verze: Firefox - 132 [1] Firefox ESR - 128.4, 115.17 [2][3] Thunderbird - 128.4, 132 [4][5]
Neautentizovanému vzdálenému útočníkovi je umožněno získat oprávnění, ke kterým by neměl mít přístup. Pro zneužití zranitelnosti je nutné, aby byly prvky z útočníkovy webové stránky vloženy do legitimní stránky, které bylo uděleno alespoň nějaké oprávnění [1][2][3][4][5][6].
Zranitelnost se nachází v produktech:
- Firefox; < 132;
- Firefox ESR; <115.17; >= 128, < 128.4;
- Thunderbird; < 128.4;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
Více informací:
- CVE-2024-10458 na cve.org, NVD
- CWE-281: Improper Preservation of Permissions na cwe.mitre.org
Zranitelnost byla veřejně oznámena 29. 10. 2024.
Neautentizovanému vzdálenému útočníkovi je umožněno způsobit DoS útok přístupem do nealokované paměti. Zranitelnost je zneužitelná pouze v případě, že oběť útoku využívá funkcionalitu "Accessibility" [1][2][3][4][5][7].
Zranitelnost se nachází v produktech:
- Firefox; < 132;
- Firefox ESR; <115.17; >= 128, < 128.4;
- Thunderbird; < 128.4;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H
Více informací:
- CVE-2024-10459 na cve.org, NVD
- CWE-416: Use After Free na cwe.mitre.org
Zranitelnost byla veřejně oznámena 29. 10. 2024.
Neautentizovanému vzdálenému útočníkovi je umožněno zapisovat do nealokované paměti, což může potenciálně způsobit spuštění kódu [1][2][3][4][5][8].
Zranitelnost se nachází v produktech:
- Firefox; < 132;
- Firefox ESR; <115.17; >= 128, < 128.4;
- Thunderbird; < 128.4;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Více informací:
- CVE-2024-10467 na cve.org, NVD
- CWE-787: Out-of-bounds Write na cwe.mitre.org
- CWE-125: Out-of-bounds Read na cwe.mitre.org
Zranitelnost byla veřejně oznámena 29. 10. 2024.
Odkazy
- [1] https://www.mozilla.org/en-US/security/advisories/mfsa2024-55/
- [2] https://www.mozilla.org/en-US/security/advisories/mfsa2024-56/
- [3] https://www.mozilla.org/en-US/security/advisories/mfsa2024-57/
- [4] https://www.mozilla.org/en-US/security/advisories/mfsa2024-58/
- [5] https://www.mozilla.org/en-US/security/advisories/mfsa2024-59/
- [6] https://nvd.nist.gov/vuln/detail/CVE-2024-10458
- [7] https://nvd.nist.gov/vuln/detail/CVE-2024-10459
- [8] https://nvd.nist.gov/vuln/detail/CVE-2024-10467
Za CESNET, z.s.p.o. Martin Krajči dne 13. 11. 2024.