CVE-2021-38503

Obejście ograniczeń iframe sandbox przez XSLT w Mozilla Firefox i Thunderbird

CVSS 10.0v3.1pub. 2021-12-08upd. 2024-11-21

Reguły piaskownicy (sandbox) dla elementów iframe nie były prawidłowo stosowane do arkuszy stylów XSLT, co pozwalało na ominięcie nałożonych restrykcji. Podatność otrzymała maksymalną ocenę CVSS 10.0, co czyni ją krytycznym zagrożeniem dla użytkowników przeglądarek i klienta pocztowego.

▸ Pokaż oryginał (EN)

The iframe sandbox rules were not correctly applied to XSLT stylesheets, allowing an iframe to bypass restrictions such as executing scripts or navigating the top-level frame. This vulnerability affects Firefox < 94, Thunderbird < 91.3, and Firefox ESR < 91.3.

🤖 Analiza AI

Jak działa

Element iframe w HTML może być objęty mechanizmem sandbox, który ogranicza m.in. wykonywanie skryptów czy nawigację do ramki nadrzędnej. Błąd polegał na tym, że reguły sandbox nie były egzekwowane w kontekście arkuszy stylów XSLT ładowanych wewnątrz takiego iframe. Atakujący mógł więc spreparować stronę internetową zawierającą iframe z osadzonym arkuszem XSLT, który omijał narzucone ograniczenia i wykonywał działania normalnie zabronione przez sandbox.

Skutki

Atakujący może wykonać dowolne skrypty w kontekście strony ofiary oraz przejąć kontrolę nad nawigacją ramki nadrzędnej (top-level frame), co może prowadzić do kradzieży danych, phishingu lub dalszej kompromitacji systemu.

Mitygacja

Należy zaktualizować Mozilla Firefox do wersji 94 lub nowszej, Mozilla Firefox ESR do wersji 91.3 lub nowszej, a Mozilla Thunderbird do wersji 91.3 lub nowszej. Użytkownicy Debian Linux powinni zastosować patche dostępne poprzez system zarządzania pakietami zgodnie z ogłoszeniami bezpieczeństwa Debian LTS.

Kogo dotyczy

Mozilla Firefox w wersjach przed 94, Mozilla Firefox ESR w wersjach przed 91.3, Mozilla Thunderbird w wersjach przed 91.3. Dotyczy również pakietów tych produktów w dystrybucji Debian Linux.