Mozilla publikuje nowe aktualizacje zabezpieczeń dla swoich produktów. (P24-127)

utworzone przez | kwi 17, 2024 | Aktualizacje

ProduktFirefox – wersje starsze niż 125
Firefox ESR – wersje starsze niż 115.10
Numer CVECVE-2024-3864
Krytyczność7,7/10
CVSSAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C
OpisLuka wynika z błędu granicznego podczas przetwarzania treści HTML. Osoba atakująca zdalnie może oszukać ofiarę, aby otworzyła specjalnie spreparowaną witrynę internetową, spowodowała uszkodzenie pamięci i wykonała dowolny kod w systemie docelowym.
  
Numer CVECVE-2024-3302
Krytyczność3,8/10
CVSSAV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L/E:U/RL:O/RC:C
OpisLuka wynika z tego, że aplikacja nie kontroluje prawidłowo zużycia zasobów wewnętrznych podczas obsługi ramek HTTP/2 CONTINUATION. Osoba atakująca zdalnie może oszukać ofiarę, aby odwiedziła specjalnie stworzoną witrynę internetową i przeprowadziła atak typu „odmowa usługi” (DoS).
  
Numer CVECVE-2024-3863
Krytyczność5,9/10
CVSSAV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N/E:U/RL:O/RC:C
OpisLuka wynika z braku ostrzeżenia podczas pobierania plików .xrm-ms. Osoba atakująca zdalnie może nakłonić ofiarę do pobrania i wykonania dowolnego kodu w systemie.
  
Numer CVECVE-2024-3861
Krytyczność3,8/10
CVSSAV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L/E:U/RL:O/RC:C
OpisLuka wynika z błędu użycia po zwolnieniu. Jeżeli AlignedBuffer zostałby przypisany do siebie, późniejsze samodzielne przesunięcie mogłoby spowodować nieprawidłowe zliczenie referencji i późniejsze użycie po zwolnieniu.
  
Numer CVECVE-2024-3859
Krytyczność3,8/10
CVSSAV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N/E:U/RL:O/RC:C
OpisLuka wynika z przepełnienia liczb całkowitych podczas obsługi czcionek OpenType. Osoba atakująca zdalnie może oszukać ofiarę, aby odwiedziła specjalnie spreparowaną witrynę internetową i uzyskała dostęp do poufnych informacji.
  
Numer CVECVE-2024-3852
Krytyczność7,7/10
CVSSAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C
OpisLuka istnieje, ponieważ GetBoundName może zwrócić niewłaściwą wersję obiektu po zastosowaniu optymalizacji JIT. Osoba atakująca zdalnie może wykorzystać takie zachowanie do wykonania dowolnego kodu w systemie.
  
Numer CVECVE-2024-3857
Krytyczność7,7/10
CVSSAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C
OpisLuka wynika z nieprawidłowej optymalizacji, gdy w niektórych przypadkach JIT tworzy nieprawidłowy kod dla argumentów. Osoba atakująca zdalnie może wykorzystać takie zachowanie do wykonania dowolnego kodu w systemie.
  
Numer CVECVE-2024-3854
Krytyczność7,7/10
CVSSAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C]
OpisLuka wynika z nieprawidłowej optymalizacji, gdy niektóre wzorce kodu w JIT niepoprawnie optymalizują instrukcje switch i generują kod z odczytami spoza zakresu. Osoba atakująca zdalnie może wykorzystać takie zachowanie do wykonania dowolnego kodu w systemie.
  
Numer CVECVE-2024-3853
Krytyczność7,7/10
CVSSAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C]
OpisLuka wynika z błędu użycia po zwolnieniu. Osoba atakująca zdalnie może oszukać ofiarę, aby odwiedziła specjalnie spreparowaną witrynę internetową i wykonała dowolny kod w systemie.
  
Numer CVECVE-2024-3855
Krytyczność6,5/10
CVSSAV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C
OpisLuka wynika z niepoprawnie zoptymalizowanych operacji MSubstr JIT. Osoba atakująca zdalnie może nakłonić ofiarę do odwiedzenia specjalnie spreparowanej witryny internetowej, wywołać odczyt spoza dozwolonego zakresu i potencjalnie zagrozić zagrożonemu systemowi.
  
Numer CVECVE-2024-3856
Krytyczność7,7/10
CVSSAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C
OpisLuka wynika z błędu użycia po zwolnieniu podczas usuwania elementów bezużytecznych WASM. Osoba atakująca zdalnie może oszukać ofiarę, aby odwiedziła specjalnie spreparowaną witrynę internetową i wykonała dowolny kod w systemie.
  
Numer CVECVE-2024-3858
Krytyczność3,8/10
CVSSAV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L/E:U/RL:O/RC:C
OpisLuka wynika z błędu granicznego podczas przetwarzania JavaScript. Osoba atakująca zdalnie może zmutować obiekt JavaScript, tak że JIT może ulec awarii podczas jego śledzenia.
  
Numer CVECVE-2024-3860
Krytyczność3,8/10
CVSSAV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L/E:U/RL:O/RC:C
OpisLuka wynika z tego, że aplikacja nie kontroluje prawidłowo zużycia zasobów wewnętrznych podczas śledzenia pustych list kształtów. Osoba atakująca zdalnie może spowodować wyczerpanie zasobów i przeprowadzić atak typu „odmowa usługi” (DoS).
  
Numer CVECVE-2024-3862
Krytyczność3,8/10
CVSSAV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L/E:U/RL:O/RC:C
OpisLuka wynika z użycia niezainicjowanej pamięci w operatorze przypisania MarkStack. Osoba atakująca zdalnie może oszukać ofiarę, aby odwiedziła witrynę i spowodowała awarię przeglądarki.
  
Numer CVECVE-2024-3865
Krytyczność7,7/10
CVSSAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C]
OpisLuka wynika z błędu granicznego podczas przetwarzania treści HTML. Osoba atakująca zdalnie może stworzyć specjalnie spreparowaną witrynę internetową, nakłonić ofiarę do jej otwarcia, wywołać uszkodzenie pamięci i wykonać dowolny kod w systemie docelowym.
  
Numer CVECVE-2024-2609
Krytyczność4,7/10
CVSSV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N/E:U/RL:O/RC:C]
OpisLuka wynika z tego, że opóźnienie wprowadzenia monitu o pozwolenie może wygasnąć, gdy okno nie jest aktywne. Osoba atakująca zdalnie może oszukać ofiarę, aby odwiedziła specjalnie spreparowaną witrynę internetową i przeprowadziła atak typu clickjacking.
  
AktualizacjaTAK
Linkhttp://www.mozilla.org/en-US/security/advisories/mfsa2024-18/ http://www.mozilla.org/en-US/security/advisories/mfsa2024-19/