Firefox |安全缝隙公告
颁布功夫 2020-04-140x00 缝隙概述
|
产品 |
CVE ID |
类 型 |
缝隙等级 |
远程利用 |
影响领域 |
|
Firefox |
CVE-2020-6821 |
信息泄露 |
高危 |
是 |
Firefox < 75 |
|
Firefox |
CVE-2020-6822 |
缓冲区溢出 |
中危 |
是 |
Firefox < 75 Firefox ESR < 68.7 |
|
Firefox |
CVE-2020-6823 |
信息泄露 |
中危 |
是 |
Firefox < 74 |
|
Firefox |
CVE-2020-6824 |
越权接见 |
中危 |
是 |
Firefox < 75 |
|
Firefox |
CVE-2020-6825 |
内存粉碎 |
高危 |
是 |
Firefox ESR 68.6 Firefox 74 |
|
Firefox |
CVE-2020-6826 |
内存粉碎 |
高危 |
是 |
Firefox 74 |
0x01 缝隙详情
Mozilla Firefox是美国Mozilla基金会的一款开源Web浏览器 。。。。。。 。。
2020年4月7日，，，，，，Mozilla在其安全公告中批露其建复了六个缝隙，，，，，，具体如下：
CVE-2020-6821是当使用WebGL的copyTexSubImage步骤从源资源中读取数据时，，，，，，规范要求返回值为零 。。。。。。 。。但此内存未初始化，，，，，，导致潜在的敏感数据泄露 。。。。。。 。。
CVE-2020-6822是在GMPDecodeData中处置大于4 GB的图像时，，，，，，可能会产生越界写入 。。。。。。 。。攻击者可利用该缝隙执行肆意代码 。。。。。。 。。
CVE-2020-6823是恶意扩大法式通过挪用browser.identity.launchWebAuthFlow来节造redirect_uri，，，，，，并获得Auth代码，，，，，，在服务提供商处接见用户的帐户 。。。。。。 。。
CVE-2020-6824是在两次打开个人浏览窗口时，，，，，，法式天生一样的密码（前提：Firefox一向处于打开状态） 。。。。。。 。。攻击者可借助特造的网站利用该缝隙获取系统未授权的接见权限 。。。。。。 。。
CVE-2020-6825是在Mozilla Firefox ESR 68.6版本和Firefox 74版本中存在内存安全性谬误 。。。。。。 。。攻击者可利用该缝隙败坏内存或可能执行肆意代码 。。。。。。 。。
CVE-2020-6826是在Firefox 74版本中存在内存安全性谬误 。。。。。。 。。攻击者可利用该缝隙粉碎内存并执行肆意代码 。。。。。。 。。
0x02 措置建议
厂商已颁布升级补� 。。。。。。 。。�，，，下载链接：
https://www.mozilla.org/en-US/security/advisories/mfsa2020-12/
0x03 有关新闻
https://www.auscert.org.au/bulletins/ESB-2020.1228/
0x04 参考链接
https://www.mozilla.org/en-US/security/advisories/mfsa2020-12/
0x05 功夫线
2020-04-07 Firefox官方颁布缝隙
2020-04-10 CVE颁布该缝隙
京公网安备11010802024551号