Mozilla Firefox bis 62.x Nested Event Denial of Service

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
6.9$0-$5k0.00

In Mozilla Firefox bis 62.x (Web Browser) wurde eine Schwachstelle ausgemacht. Sie wurde als problematisch eingestuft. Betroffen ist ein unbekannter Teil der Komponente Nested Event Handler. Dank Manipulation mit einer unbekannten Eingabe kann eine Denial of Service-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-835. Dies wirkt sich aus auf die Verfügbarkeit.

Am 23.10.2018 wurde das Problem entdeckt. Die Schwachstelle wurde am 23.10.2018 als MFSA 2018-26 in Form eines bestätigten Security Advisories (Website) an die Öffentlichkeit getragen. Auf mozilla.org kann das Advisory eingesehen werden. Eine eindeutige Identifikation der Schwachstelle wird seit dem 14.06.2018 mit CVE-2018-12392 vorgenommen. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Um eine Ausnutzung durchzusetzen, muss keine spezifische Authentisierung umgesetzt werden. Es wird vorausgesetzt, dass das Opfer eine spezifische Handlung vornimmt. Nicht vorhanden sind sowohl technische Details als auch ein Exploit zur Schwachstelle. MITRE ATT&CK führt die Angriffstechnik T1499 für diese Schwachstelle.

Für den Vulnerability Scanner Nessus wurde am 26.10.2018 ein Plugin mit der ID 118406 (CentOS 6 : firefox (CESA-2018:3006)) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family CentOS Local Security Checks zugeordnet und im Kontext l ausgeführt. Der kommerzielle Vulnerability Scanner Qualys bietet das Plugin 197286 (Ubuntu Security Notification for Firefox Vulnerabilities (USN-3801-1)) zur Prüfung der Schwachstelle an.

Ein Upgrade auf die Version 63.0 vermag dieses Problem zu beheben. Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle. Mozilla hat folglich sofort reagiert.

Unter anderem wird der Fehler auch in der Verwundbarkeitsdatenbank von Tenable (118406) dokumentiert. Die Einträge 125961, 125963, 125964 und 125965 sind sehr ähnlich.

Produktinfo

Typ

Hersteller

Name

Version

Lizenz

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB CVSS-B Score: 🔍
VulDB CVSS-BT Score: 🔍
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 7.0
VulDB Meta Temp Score: 6.9

VulDB Base Score: 4.3
VulDB Temp Score: 4.1
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 9.8
NVD Vector: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Denial of Service
CWE: CWE-835 / CWE-404
ATT&CK: T1499

Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Nicht definiert

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Nessus ID: 118406
Nessus Name: CentOS 6 : firefox (CESA-2018:3006)
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍
Nessus Context: 🔍

Qualys ID: 🔍
Qualys Name: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

Reaktionszeit: 🔍
0-Day Time: 🔍
Exposure Time: 🔍

Upgrade: Firefox 63.0

Timelineinfo

14.06.2018 🔍
23.10.2018 +130 Tage 🔍
23.10.2018 +0 Tage 🔍
23.10.2018 +0 Tage 🔍
23.10.2018 +0 Tage 🔍
24.10.2018 +0 Tage 🔍
26.10.2018 +2 Tage 🔍
26.10.2018 +0 Tage 🔍
03.06.2023 +1681 Tage 🔍

Quelleninfo

Hersteller: mozilla.org
Produkt: mozilla.org

Advisory: MFSA 2018-26
Status: Bestätigt
Bestätigung: 🔍

CVE: CVE-2018-12392 (🔍)
OVAL: 🔍

SecurityTracker: 1041944
SecurityFocus: 105723 - Mozilla Firefox ESR CVE-2018-12389 Multiple Memory Corruption Vulnerabilities

Siehe auch: 🔍

Eintraginfo

Erstellt: 26.10.2018 07:13
Aktualisierung: 03.06.2023 07:49
Anpassungen: 26.10.2018 07:13 (71), 06.04.2020 17:18 (13), 03.06.2023 07:49 (4)
Komplett: 🔍

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

Might our Artificial Intelligence support you?

Check our Alexa App!