W przeglądarce Mozilla Firefox 125 wykryto wiele błędów bezpieczeństwa pamięci, z których część wykazała oznaki uszkodzenia pamięci (memory corruption). Podatność jest krytyczna, ponieważ przy odpowiednim nakładzie pracy mogła zostać wykorzystana do wykonania dowolnego kodu na systemie ofiary.
▸ Pokaż oryginał (EN)
Memory safety bugs present in Firefox 125. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability affects Firefox < 126.
Błędy dotyczą nieprawidłowego zarządzania pamięcią w silniku przeglądarki Firefox 125, sklasyfikowane jako CWE-1260 (niezgodność mechanizmów ochrony pamięci). Niektóre ze zidentyfikowanych błędów wykazały dowody na faktyczne uszkodzenie pamięci w trakcie działania aplikacji. Exploit mógłby zostać przeprowadzony zdalnie, bez konieczności uwierzytelnienia i bez interakcji użytkownika, co odzwierciedla wektor CVSS AV:N/AC:L/PR:N/UI:N.
Atakujący może potencjalnie wykonać dowolny kod (RCE) na komputerze ofiary, co może prowadzić do pełnego przejęcia kontroli nad systemem, naruszenia poufności danych oraz zakłócenia działania aplikacji.
Należy zaktualizować Mozilla Firefox do wersji 126 lub nowszej. Aktualizacja dostępna za pośrednictwem mechanizmu automatycznej aktualizacji przeglądarki lub na stronie producenta zgodnie z poradnikiem bezpieczeństwa MFSA2024-21.
Mozilla Firefox w wersji wcześniejszej niż 126 (podatna wersja: Firefox 125).
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HMozilla Firefox
APPMozilla< 126.0
Powiązane podatności
Use-after-free w Animation timelines Firefox/Thunderbird — RCE
Use-after-free w WebGPU IPC framework Mozilla — sandbox escape
Mozilla Firefox/Thunderbird: przełamanie sandbox przez IPC Prompt:Open
RCE w Mozilla Firefox przez błąd nsCSSFrameConstructor::ContentAppended
Sandbox escape due to use-after-free in the DOM: Navigation component. This vulnerability was fixed in Firefox...