[TLP:CLEAR] Mozilla Firefox a Thunderbird opravujú 11 zraniteľností
Mozilla opravuje 11 zraniteľností v produktoch Thunderbird, Firefox a Firefox ESR [1][2][3][4][5]. Najzávažnejšie zraniteľnosti sú uvedené nižšie. Jednotlivé produkty a ich opravené verzie: Firefox - 132 [1] Firefox ESR - 128.4, 115.17 [2][3] Thunderbird - 128.4, 132 [4][5]
Neautentizovanému vzdialenému útočníkovi je umožnené získať oprávnenia, ku ktorým by nemal mať prístup. Pre zneužitie zraniteľnosti je potrebné, aby boli prvky z útočníkovej web stránky vložené na legitimnej stránke, ktorá má udelené aspoň nejaké oprávnenia [1][2][3][4][5][6].
Zraniteľnosť sa nachádza v produktoch:
- Firefox; < 132;
- Firefox ESR; <115.17; >= 128, < 128.4;
- Thunderbird; < 128.4;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
Viac informácií:
- CVE-2024-10458 na cve.org, NVD
- CWE-281: Improper Preservation of Permissions na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 29. 10. 2024.
Neautentizovanému vzdialenému útočníkovi je umožnené spôsobiť DoS útok pristupovaním do nealokovanej pamäte. Zraniteľnosť je zneužiteľná iba v prípade, že obeť útoku využíva funkcionalitu "Accessibility" [1][2][3][4][5][7].
Zraniteľnosť sa nachádza v produktoch:
- Firefox; < 132;
- Firefox ESR; <115.17; >= 128, < 128.4;
- Thunderbird; < 128.4;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2024-10459 na cve.org, NVD
- CWE-416: Use After Free na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 29. 10. 2024.
Neautentizovanému vzdialenému útočníkovi je umožnené zapisovať do nealokovanej pamäte, čo potenciálne môže spôsobiť spúšťanie kódu [1][2][3][4][5][8].
Zraniteľnosť sa nachádza v produktoch:
- Firefox; < 132;
- Firefox ESR; <115.17; >= 128, < 128.4;
- Thunderbird; < 128.4;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2024-10467 na cve.org, NVD
- CWE-787: Out-of-bounds Write na cwe.mitre.org
- CWE-125: Out-of-bounds Read na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 29. 10. 2024.
Odkazy
- [1] https://www.mozilla.org/en-US/security/advisories/mfsa2024-55/
- [2] https://www.mozilla.org/en-US/security/advisories/mfsa2024-56/
- [3] https://www.mozilla.org/en-US/security/advisories/mfsa2024-57/
- [4] https://www.mozilla.org/en-US/security/advisories/mfsa2024-58/
- [5] https://www.mozilla.org/en-US/security/advisories/mfsa2024-59/
- [6] https://nvd.nist.gov/vuln/detail/CVE-2024-10458
- [7] https://nvd.nist.gov/vuln/detail/CVE-2024-10459
- [8] https://nvd.nist.gov/vuln/detail/CVE-2024-10467
Za CESNET, z.s.p.o. Martin Krajči dňa 13. 11. 2024.