CVE-2021-4140

Ominięcie sandbox iframe przez XSLT w Firefox i Thunderbird

CVSS 10.0v3.1pub. 2022-12-22upd. 2025-04-16

Podatność w Mozilla Firefox, Firefox ESR i Thunderbird pozwala na ominięcie mechanizmu sandbox dla elementów iframe poprzez sprytnie skonstruowane znaczniki XSLT. Jest to podatność krytyczna (CVSS 10.0), umożliwiająca pełne naruszenie poufności, integralności i dostępności bez jakichkolwiek warunków wstępnych.

▸ Pokaż oryginał (EN)

It was possible to construct specific XSLT markup that would be able to bypass an iframe sandbox. This vulnerability affects Firefox ESR < 91.5, Firefox < 96, and Thunderbird < 91.5.

🤖 Analiza AI

Jak działa

Atakujący może przygotować specjalnie spreparowany kod XSLT (Extensible Stylesheet Language Transformations), który po przetworzeniu przez silnik przeglądarki lub klienta pocztowego omija izolację narzuconą przez sandbox iframe. Mechanizm sandbox ma na celu ograniczenie uprawnień osadzonej zawartości, jednak wadliwa obsługa XSLT umożliwia ucieczkę z tego ograniczenia. Podatność sklasyfikowana jest jako CWE-91 (XML Injection), co wskazuje na niewystarczającą walidację lub neutralizację danych XML/XSLT przed ich przetworzeniem.

Skutki

Atakujący może całkowicie ominąć zabezpieczenia sandbox iframe, potencjalnie uzyskując dostęp do zasobów strony nadrzędnej, wykonując nieautoryzowane operacje lub przejmując kontrolę nad sesją użytkownika. Wektor ataku sieciowy bez wymogu uwierzytelnienia i interakcji użytkownika czyni tę podatność szczególnie niebezpieczną.

Mitygacja

Należy zaktualizować Firefox do wersji 96 lub nowszej, Firefox ESR do wersji 91.5 lub nowszej oraz Thunderbird do wersji 91.5 lub nowszej. Szczegóły dostępne w poradnikach bezpieczeństwa Mozilla: mfsa2022-01, mfsa2022-02 oraz mfsa2022-03.