Mozilla Firefox/Thunderbird 16 Location Object erweiterte Rechte
CVSS Meta Temp Score | Aktueller Exploitpreis (≈) | CTI Interest Score |
---|---|---|
4.8 | $0-$5k | 0.00 |
Eine problematische Schwachstelle wurde in Mozilla Firefox sowie Thunderbird 16 (Web Browser) gefunden. Davon betroffen ist unbekannter Code der Komponente Location Object. Durch Beeinflussen mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-264. Dies hat Einfluss auf die Vertraulichkeit. Die Zusammenfassung von CVE lautet:
Mozilla Firefox 16.0, Thunderbird 16.0, and SeaMonkey 2.13 allow remote attackers to bypass the Same Origin Policy and read the properties of a Location object via a crafted web site, a related issue to CVE-2012-4193.
Die Schwachstelle wurde am 10.10.2012 durch Gareth Heyes (moz_bug_r_a4) als MFSA2012-89 in Form eines nicht definierten Advisories (Website) herausgegeben. Bereitgestellt wird das Advisory unter mozilla.org. Eine Veröffentlichung wurde nicht in Zusammenarbeit mit Mozilla angestrebt. Die Verwundbarkeit wird seit dem 08.08.2012 mit der eindeutigen Identifikation CVE-2012-4192 gehandelt. Sie gilt als leicht ausnutzbar. Umgesetzt werden kann der Angriff über das Netzwerk. Das Ausnutzen erfordert keine spezifische Authentisierung. Es sind zwar keine technische Details, jedoch ein öffentlicher Exploit zur Schwachstelle bekannt. Als Angriffstechnik weist das MITRE ATT&CK Projekt die ID T1068 aus.
Der Exploit wird unter thespanner.co.uk bereitgestellt. Er wird als proof-of-concept gehandelt. Der Preis als 0-Day war auf dem Schwarzmarkt etwa $25k-$100k. Für den Vulnerability Scanner Nessus wurde am 17.10.2012 ein Plugin mit der ID 62590 (Mozilla Thunderbird 10.x < 10.0.9 Multiple Vulnerabilities) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Windows zugeordnet. Der kommerzielle Vulnerability Scanner Qualys bietet das Plugin 195287 (Ubuntu Security Notification for Firefox Vulnerabilities (USN-1608-1)) zur Prüfung der Schwachstelle an.
Ein Aktualisieren auf die Version 16.0.1 vermag dieses Problem zu lösen. Das Erscheinen einer Gegenmassnahme geschah 1 Tage nach der Veröffentlichung der Schwachstelle. Mozilla hat so unmittelbar gehandelt. Weiterführend können Angriffe durch TippingPoint mittels dem Filter 12757 erkannt werden.
Unter anderem wird der Fehler auch in den Datenbanken von X-Force (79210) und Tenable (62590) dokumentiert. Schwachstellen ähnlicher Art sind dokumentiert unter 6664 und 6666.
Produkt
Typ
Hersteller
Name
Version
Lizenz
CPE 2.3
CPE 2.2
CVSSv4
VulDB CVSS-B Score: 🔍VulDB CVSS-BT Score: 🔍
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍
CVSSv3
VulDB Meta Base Score: 5.3VulDB Meta Temp Score: 4.8
VulDB Base Score: 5.3
VulDB Temp Score: 4.8
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍
CVSSv2
AV | AC | Au | C | I | A |
---|---|---|---|---|---|
💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
Vektor | Komplexität | Authentisierung | Vertraulichkeit | Integrität | Verfügbarkeit |
---|---|---|---|---|---|
freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍
NVD Base Score: 🔍
Exploiting
Klasse: Erweiterte RechteCWE: CWE-264
ATT&CK: T1068
Lokal: Nein
Remote: Ja
Verfügbarkeit: 🔍
Zugang: öffentlich
Status: Proof-of-Concept
Download: 🔍
EPSS Score: 🔍
EPSS Percentile: 🔍
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍
0-Day | freischalten | freischalten | freischalten | freischalten |
---|---|---|---|---|
Heute | freischalten | freischalten | freischalten | freischalten |
Nessus ID: 62590
Nessus Name: Mozilla Thunderbird 10.x < 10.0.9 Multiple Vulnerabilities
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍
OpenVAS ID: 72477
OpenVAS Name: FreeBSD Ports: firefox
OpenVAS Datei: 🔍
OpenVAS Family: 🔍
Qualys ID: 🔍
Qualys Name: 🔍
Threat Intelligence
Interesse: 🔍Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍
Gegenmassnahmen
Empfehlung: UpgradeStatus: 🔍
Reaktionszeit: 🔍
0-Day Time: 🔍
Exposure Time: 🔍
Upgrade: Firefox/Thunderbird 16.0.1
TippingPoint: 🔍
McAfee IPS: 🔍
McAfee IPS Version: 🔍
PaloAlto IPS: 🔍
Fortigate IPS: 🔍
Timeline
08.08.2012 🔍10.10.2012 🔍
11.10.2012 🔍
11.10.2012 🔍
11.10.2012 🔍
11.10.2012 🔍
12.10.2012 🔍
12.10.2012 🔍
14.10.2012 🔍
17.10.2012 🔍
18.04.2021 🔍
Quellen
Hersteller: mozilla.orgProdukt: mozilla.org
Advisory: MFSA2012-89
Person: Gareth Heyes (moz_bug_r_a4)
Status: Nicht definiert
Bestätigung: 🔍
CVE: CVE-2012-4192 (🔍)
OVAL: 🔍
X-Force: 79210
Vulnerability Center: 36497 - Mozilla Firefox, Thunderbird and SeaMonkey Allow Same Origin Policy Bypass - CVE-2012-4192, Medium
SecurityFocus: 56154 - Mozilla Firefox/Thunderbird/SeaMonkey Cross Domain Information Disclosure Vulnerability
Secunia: 50932 - Mozilla Firefox / Thunderbird / SeaMonkey Multiple Vulnerabilities, Highly Critical
OSVDB: 86126
scip Labs: https://www.scip.ch/?labs.20161013
Siehe auch: 🔍
Eintrag
Erstellt: 12.10.2012 15:08Aktualisierung: 18.04.2021 09:32
Anpassungen: 12.10.2012 15:08 (83), 31.01.2018 09:54 (12), 18.04.2021 09:32 (3)
Komplett: 🔍
Editor: olku
Bisher keine Kommentare. Sprachen: de + en.
Bitte loggen Sie sich ein, um kommentieren zu können.