CVE-2024-9392

Mozilla Firefox/Thunderbird — ładowanie stron cross-origin przez skompromitowany proces

CVSS 9.8v3.1pub. 2024-10-01upd. 2025-11-03

Podatność w Mozilla Firefox i Thunderbird pozwala skompromitowanemu procesowi treści (content process) na arbitralne ładowanie stron z innych źródeł (cross-origin). Ze względu na krytyczny poziom CVSS 9.8 i brak wymagań dotyczących uwierzytelnienia, stanowi poważne zagrożenie dla poufności, integralności i dostępności danych.

▸ Pokaż oryginał (EN)

A compromised content process could have allowed for the arbitrary loading of cross-origin pages. This vulnerability affects Firefox < 131, Firefox ESR < 128.3, Firefox ESR < 115.16, Thunderbird < 128.3, and Thunderbird < 131.

🤖 Analiza AI

Jak działa

Podatność wynika z naruszenia zasady izolacji origin (CWE-346 — Origin Validation Error). W normalnych warunkach mechanizm same-origin policy uniemożliwia procesom treści dostęp do zasobów z innych domen. W przypadku tej luki skompromitowany content process może obejść tę kontrolę i załadować arbitralne strony cross-origin, co otwiera drogę do dalszego nadużycia środowiska przeglądarki lub klienta pocztowego.

Skutki

Atakujący, który uzyska kontrolę nad procesem treści, może uzyskać nieautoryzowany dostęp do danych z innych stron oraz potencjalnie wpłynąć na ich integralność i dostępność, co odpowiada pełnemu naruszeniu poufności, integralności i dostępności (CVSS C:H/I:H/A:H).

Mitygacja

Należy zaktualizować oprogramowanie do następujących wersji: Firefox 131 lub nowszy, Firefox ESR 128.3 lub nowszy, Firefox ESR 115.16 lub nowszy, Thunderbird 128.3 lub nowszy, Thunderbird 131 lub nowszy. Szczegółowe informacje dostępne w biuletynach bezpieczeństwa Mozilla: mfsa2024-46, mfsa2024-47, mfsa2024-48.

Kogo dotyczy

Mozilla Firefox w wersji poniżej 131, Mozilla Firefox ESR w wersjach poniżej 128.3 oraz poniżej 115.16, Mozilla Thunderbird w wersji poniżej 128.3 oraz poniżej 131.