CVE-2024-5699

Mozilla Firefox: nieprawidłowa obsługa prefiksów cookie (__Secure)

CVSS 9.8v3.1pub. 2024-06-11upd. 2025-04-04

Przeglądarka Mozilla Firefox niepoprawnie obsługiwała prefiksy cookie takie jak `__Secure`, ignorując je w przypadku niezgodności wielkości liter, zamiast stosować porównanie bez uwzględnienia wielkości liter zgodnie ze specyfikacją. Mogło to prowadzić do nieprzestrzegania przez przeglądarkę reguł bezpieczeństwa określonych przez te prefiksy.

▸ Pokaż oryginał (EN)

In violation of spec, cookie prefixes such as `__Secure` were being ignored if they were not correctly capitalized - by spec they should be checked with a case-insensitive comparison. This could have resulted in the browser not correctly honoring the behaviors specified by the prefix. This vulnerability affects Firefox < 127.

🤖 Analiza AI

Jak działa

Zgodnie ze specyfikacją, prefiksy cookie takie jak `__Secure` powinny być rozpoznawane przy użyciu porównania bez uwzględnienia wielkości liter (case-insensitive). Firefox błędnie pomijał te prefiksy, jeśli nie były zapisane dokładnie wymaganą wielkością liter, co stanowi naruszenie specyfikacji (CWE-178). W rezultacie mechanizmy ochronne wymuszane przez prefiksy — takie jak wymaganie flagi Secure — nie były egzekwowane przez przeglądarkę. Atakujący mógł potencjalnie ustawić lub zmodyfikować cookies w sposób, który powinien być zablokowany przez te prefiksy.

Skutki

Atakujący mógł obejść zabezpieczenia związane z prefiksami cookie, co mogło skutkować nieautoryzowanym dostępem do chronionych zasobów, ujawnieniem poufnych danych lub naruszeniem integralności sesji użytkownika.

Mitygacja

Należy zaktualizować przeglądarkę Mozilla Firefox do wersji 127 lub nowszej. Szczegóły dostępne w komunikacie bezpieczeństwa producenta: https://www.mozilla.org/security/advisories/mfsa2024-25/