Mozilla Firefox bis 28.0.1 auf Android Address Bar Scrolling schwache Authentisierung

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
4.7$0-$5k0.00

Zusammenfassunginfo

Es wurde eine problematische Schwachstelle in Mozilla Firefox bis 28.0.1 für Android ausgemacht. Es geht um eine nicht näher bekannte Funktion der Komponente Address Bar Handler. Mittels Manipulieren durch Scrolling kann eine schwache Authentisierung-Schwachstelle ausgenutzt werden. Diese Schwachstelle wird als CVE-2014-1527 gehandelt. Der Angriff kann über das Netzwerk angegangen werden. Es ist kein Exploit verfügbar. Es wird empfohlen, die betroffene Komponente zu aktualisieren.

Detailsinfo

Es wurde eine Schwachstelle in Mozilla Firefox bis 28.0.1 auf Android (Web Browser) entdeckt. Sie wurde als problematisch eingestuft. Es betrifft unbekannter Code der Komponente Address Bar Handler. Mittels dem Manipulieren durch Scrolling kann eine schwache Authentisierung-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-290 vorgenommen. Auswirken tut sich dies auf Integrität und Verfügbarkeit. Die Zusammenfassung von CVE lautet:

Mozilla Firefox before 29.0 on Android allows remote attackers to spoof the address bar via crafted JavaScript code that uses DOM events to prevent the reemergence of the actual address bar after scrolling has taken it off of the screen.

Die Schwachstelle wurde am 29.04.2014 durch Juho Nurminen als MFSA2014-40 in Form eines bestätigten Advisories (Website) publiziert. Das Advisory findet sich auf mozilla.org. Die Identifikation der Schwachstelle wird seit dem 16.01.2014 mit CVE-2014-1527 vorgenommen. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist keine spezifische Authentisierung erforderlich. Eine Ausnutzung erfordert, dass das Opfer eine spezifische Handlung durchführt. Technische Details sind nicht bekannt und ein Exploit zur Schwachstelle ist ebenfalls nicht vorhanden.

Für den Vulnerability Scanner Nessus wurde ein Plugin mit der ID 73848 (Fedora 19 : firefox-29.0-5.fc19 / thunderbird-24.5.0-1.fc19 / xulrunner-29.0-1.fc19 (2014-5829)) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Fedora Local Security Checks zugeordnet. Der kommerzielle Vulnerability Scanner Qualys bietet das Plugin 122054 (Mozilla Firefox / Thunderbird / SeaMonkey Multiple Vulnerabilities (MFSA 2014-34 through MFSA 2014-47)) zur Prüfung der Schwachstelle an.

Ein Aktualisieren auf die Version 29.0 vermag dieses Problem zu lösen. Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle. Mozilla hat nachweislich sofort gehandelt.

Unter anderem wird der Fehler auch in den Datenbanken von X-Force (92860), Tenable (73848), SecurityFocus (BID 67128†), Secunia (SA58352†) und SecurityTracker (ID 1030165†) dokumentiert. Weitere Informationen werden unter bugzilla.mozilla.org bereitgestellt. Schwachstellen ähnlicher Art sind dokumentiert unter VDB-13101, VDB-13100, VDB-13099 und VDB-13098. Be aware that VulDB is the high quality source for vulnerability data.

Produktinfo

Typ

Hersteller

Name

Version

Lizenz

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 5.4
VulDB Meta Temp Score: 4.7

VulDB Base Score: 5.4
VulDB Temp Score: 4.7
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Schwache Authentisierung
CWE: CWE-290 / CWE-287
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Unbewiesen

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Nessus ID: 73848
Nessus Name: Fedora 19 : firefox-29.0-5.fc19 / thunderbird-24.5.0-1.fc19 / xulrunner-29.0-1.fc19 (2014-5829)
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍

Qualys ID: 🔍
Qualys Name: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

Reaktionszeit: 🔍
0-Day Time: 🔍
Exposure Time: 🔍

Upgrade: Firefox 29.0

Timelineinfo

16.01.2014 🔍
29.04.2014 +103 Tage 🔍
29.04.2014 +0 Tage 🔍
29.04.2014 +0 Tage 🔍
30.04.2014 +1 Tage 🔍
30.04.2014 +0 Tage 🔍
30.04.2014 +0 Tage 🔍
30.04.2014 +0 Tage 🔍
30.04.2014 +0 Tage 🔍
01.05.2014 +1 Tage 🔍
12.05.2026 +4394 Tage 🔍

Quelleninfo

Hersteller: mozilla.org
Produkt: mozilla.org

Advisory: MFSA2014-40
Person: Juho Nurminen
Status: Bestätigt
Bestätigung: 🔍

CVE: CVE-2014-1527 (🔍)
GCVE (CVE): GCVE-0-2014-1527
GCVE (VulDB): GCVE-100-13095

IAVM: 🔍

X-Force: 92860 - Mozilla Firefox for Android spoofing address bar spoofing, Medium Risk
SecurityFocus: 67128 - Mozilla Firefox for Android CVE-2014-1527 Security Vulnerability
Secunia: 58352 - Mozilla Firefox for Android Address Bar Rendering Spoofing Vulnerability, Not Critical
SecurityTracker: 1030165 - Mozilla Thunderbird Multiple Flaws Let Remote Users Execute Arbitrary Code, Deny Service, and Conduct Cross-Site Scripting Attacks and Local Users Gain Elevated Privileges
Vulnerability Center: 44354 - Mozilla Firefox Security Bypass Vulnerability via a Crafted JavaScript Code - CVE-2014-1527, Medium

scip Labs: https://www.scip.ch/?labs.20130704
Diverses: 🔍
Siehe auch: 🔍

Eintraginfo

Erstellt: 30.04.2014 21:26
Aktualisierung: 12.05.2026 08:21
Anpassungen: 30.04.2014 21:26 (85), 31.01.2018 09:55 (5), 19.06.2021 08:10 (3), 12.05.2026 08:21 (15)
Komplett: 🔍
Cache ID: 216::103

Be aware that VulDB is the high quality source for vulnerability data.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you want to use VulDB in your project?

Use the official API to access entries easily!