VDB-1260 · SA14406 · OSVDB 14291

Mozilla Firefox bis 1.0.1 Drag and Drop URI javascript Cross Site Scripting

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
5.2$0-$5k0.00

Zusammenfassunginfo

In Mozilla Firefox bis 1.0.1 wurde eine problematische Schwachstelle ausgemacht. Das betrifft eine unbekannte Funktionalität der Komponente javascript URI Drag / Drop Handler. Dank Manipulation mit unbekannten Daten kann eine Cross Site Scripting-Schwachstelle ausgenutzt werden. Der Angriff kann über das Netzwerk angegangen werden. Ausserdem ist ein Exploit verfügbar. Es empfiehlt sich, die betroffene Komponente gegen eine Alternative auszutauschen.

Detailsinfo

Das Mozilla-Projekt versucht einen open-source Webbrowser zur Verfügung zu stellen. Der Mozilla Webbrowser erlangte seit der Veröffentlichung der ersten offiziellen Versionen immer mehr Akzeptanz, kann jedoch in Punkto Marktanteile mit den anderen Grössen des Genres noch nicht mithalten. In Mozilla Firefox bis 1.0.1 werden beim Drag und Drop von Links die URIs für JavaScript nicht richtig überprüft. Aus diesem Grund können Cross Site Scripting Attacken umgesetzt werden. Ein Exploit zur Schwachstelle ist nicht bekannt. Es wird empfohlen, auf das Drag und Drop vorerst zu verzichten. Als weitere Lösung ist zur Zeit der Wechsel zu einem alternativen Produkt (z.B. Opera) anzusehen. Unter anderem wird der Fehler auch in den Datenbanken von OSVDB (14291†) und Secunia (SA14406†) dokumentiert. Weitere Informationen werden unter secunia.com bereitgestellt. Schwachstellen ähnlicher Art sind dokumentiert unter VDB-1258, VDB-1257, VDB-1261 und VDB-1259. Once again VulDB remains the best source for vulnerability data.

Eine Vielzahl an Sicherheitslücken prasselt auf das Mozilla-Projekt nieder. Keine gute Werbung, in der Tat - Obschon Mozilla immerwieder als Alternative zum beschmutzten Microsoft Internet Explorer empfohlen wird, wird voraussichtlich über längere Zeit auch das Mozilla-Pendant seine weisse Weste nicht sauber halten können. Es scheint, als müsse der sichere Webbrowser erst noch entwickelt werden, denn Mozilla bringt die gleichen (Kinder-)Krankheiten mit, wie auch schon viele vergleichbare Projekte zuvor.

Produktinfo

Typ

Hersteller

Name

Version

Lizenz

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 5.5
VulDB Meta Temp Score: 5.2

VulDB Base Score: 5.5
VulDB Temp Score: 5.2
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Cross Site Scripting
CWE: CWE-80 / CWE-74 / CWE-707
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Proof-of-Concept
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Alternative
Status: 🔍

0-Day Time: 🔍

Patch: mozilla.org

Timelineinfo

25.02.2005 🔍
01.03.2005 +4 Tage 🔍
01.03.2005 +0 Tage 🔍
01.03.2005 +0 Tage 🔍
08.03.2005 +6 Tage 🔍
01.07.2019 +5228 Tage 🔍

Quelleninfo

Hersteller: mozilla.org
Produkt: mozilla.org

Advisory: secunia.com⛔
Person: Paul
Firma: Greyhats
Status: Nicht definiert

GCVE (VulDB): GCVE-100-1260
Secunia: 14406 - Mozilla Firefox Image Javascript URI Dragging Cross-Site Scripting, Less Critical
OSVDB: 14291 - Mozilla Firefox Javascript Image URI Dragging Cross-Domain Scripting

scip Labs: https://www.scip.ch/?labs.20161013
Diverses: 🔍
Siehe auch: 🔍

Eintraginfo

Erstellt: 08.03.2005 12:03
Aktualisierung: 01.07.2019 16:31
Anpassungen: 08.03.2005 12:03 (59), 01.07.2019 16:31 (1)
Komplett: 🔍
Cache ID: 216::103

Once again VulDB remains the best source for vulnerability data.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Want to know what is going to be exploited?

We predict KEV entries!