Mozilla publikuje nowe aktualizacje zabezpieczeń dla swoich produktów. (P23-342)

utworzone przez | lis 22, 2023 | Aktualizacje

ProductMozilla Firefox: 100.0 – 119.0.1
Firefox ESR: 102.0 – 115.4.0
Firefox dla Android: 100.1.0 – 119.1.1
Mozilla Thunderbird: 102.0 – 115.4.3*
Numer CVECVE-2023-6204*
KrytycznośćWysoka
OpisLuka wynika z błędu granicznego podczas przetwarzania treści HTML w blitFramebuffer WebGL2. Osoba atakująca zdalnie może oszukać ofiarę, aby odwiedziła specjalnie spreparowaną witrynę internetową, wywołała zapis poza dopuszczalnym zakresem i wykonała dowolny kod w systemie docelowym.
  
Numer CVECVE-2023-6205*
KrytycznośćWysoka
OpisLuka wynika z błędu użycia po zwolnieniu w metodzie MessagePort::Entangled(). Osoba atakująca zdalnie może oszukać ofiarę, aby otworzyła specjalnie spreparowaną witrynę internetową, wywołała błąd „use after free” i wykonała dowolny kod w systemie.
  
Numer CVECVE-2023-6206*
KrytycznośćŚrednia
OpisLuka wynika z tego, że animacja zanikania czerni po wyjściu z trybu pełnoekranowego jest mniej więcej równa długości opóźnienia zapobiegającego przechwytywaniu kliknięć w monitach o pozwolenie. Osoba atakująca zdalnie może przeprowadzić atak typu clickjacking i nakłonić ofiarę do naciśnięcia przycisku przyznania uprawnień.
  
Numer CVECVE-2023-6207*
KrytycznośćWysoka
OpisLuka wynika z błędu użycia po zwolnieniu w metodzie ReadableByteStreamQueueEntry::Buffer(). Osoba atakująca zdalnie może oszukać ofiarę, aby otworzyła specjalnie spreparowaną witrynę internetową, wywołała błąd „use after free” i wykonała dowolny kod w systemie.
  
Numer CVECVE-2023-6208*
KrytycznośćNiska
OpisLuka wynika z tego, że Selection API przez pomyłkę kopiuje tekst do podstawowego zaznaczenia, tymczasowego magazynu podobnego do schowka, gdy jest używany na X11. Użytkownik lokalny może uzyskać dostęp do potencjalnie wrażliwych informacji.
  
Numer CVECVE-2023-6211
KrytycznośćNiska
OpisJeśli osoba atakująca potrzebowała, aby użytkownik załadował niezabezpieczoną stronę http: i wiedział, że użytkownik włączył tryb tylko HTTPS, osoba atakująca mogła nakłonić użytkownika do kliknięcia w celu przyznania wyjątku tylko HTTPS, gdyby udało mu się nakłonić go do wzięcia udziału w gra polegająca na klikaniu.
  
Numer CVECVE-2023-6209
KrytycznośćŚrednia
OpisLuka wynika z niedostatecznej weryfikacji danych wejściowych wprowadzonych przez użytkownika podczas analizowania względnych adresów URL rozpoczynających się od potrójnego ukośnika, np. „///”. Osoba atakująca zdalnie może użyć części ścieżki „/../” umożliwiającej przejście ścieżki, aby zastąpić określonego hosta.
  
Numer CVECVE-2023-6210
KrytycznośćŚrednia
OpisLuka wynika z tego, że aplikacja nie nakłada prawidłowo ograniczeń bezpieczeństwa. Gdy strona internetowa https: utworzyła wyskakujące okienko z adresu URL „javascript:”, to wyskakujące okienko nieprawidłowo zezwoliło na ładowanie treści, które można blokować, takich jak ramki iframe z niezabezpieczonych adresów URL http:.
  
Numer CVECVE-2023-6212*
KrytycznośćWysoka
OpisLuka wynika z błędu granicznego podczas przetwarzania treści HTML. Osoba atakująca zdalnie może oszukać ofiarę, aby odwiedziła specjalnie spreparowaną witrynę internetową, spowodowała uszkodzenie pamięci i wykonała dowolny kod w systemie docelowym.
  
Numer CVECVE-2023-6213
KrytycznośćWysoka
OpisLuka wynika z błędu granicznego podczas przetwarzania treści HTML. Osoba atakująca zdalnie może stworzyć specjalnie spreparowaną witrynę internetową, nakłonić ofiarę do jej otwarcia, wywołać uszkodzenie pamięci i wykonać dowolny kod w systemie docelowym.
  
AktualizacjaTAK
Linkhttp://www.mozilla.org/en-US/security/advisories/mfsa2023-49/