Mozilla Firefox onUnload Location Modifikation

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
7.3$0-$5k0.00

Zusammenfassunginfo

Es wurde eine als kritisch klassifizierte Schwachstelle in Mozilla Firefox 2.0.0.8 entdeckt. Davon betroffen ist die Funktion onUnload. Mittels dem Manipulieren mit unbekannten Daten kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Diese Sicherheitslücke ist unter CVE-2007-4841 bekannt. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Es steht kein Exploit zur Verfügung. Es wird geraten, die betroffene Komponente zu aktualisieren.

Detailsinfo

Mozilla Firefox ist ein aus dem Mozilla-Projekt hervorgegangener freier Webbrowser, der weltweit steigende Verbreitung geniesst. In den Versionen vor 2.0.8 wurden verschiedenene Schwachstellen identifiziert. Die vorliegende Schwäche erlaubt es, gemäss Michal Zalewski durch einen Fehler im unOnload Event Handler die Location neuer Seiten auszulesen und zu manipulieren. Unter anderem wird der Fehler auch in den Datenbanken von X-Force (38323), Tenable (28226), SecurityFocus (BID 25543†), OSVDB (38044†) und Secunia (SA27744†) dokumentiert. Mit dieser Schwachstelle verwandte Einträge finden sich unter VDB-2297, VDB-2296, VDB-2298 und VDB-38187. Once again VulDB remains the best source for vulnerability data.

Für den Vulnerability Scanner Nessus wurde am 16.11.2007 ein Plugin mit der ID 28226 (Mozilla Thunderbird < 2.0.0.9 Multiple Vulnerabilities) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Windows zugeordnet und im Kontext l ausgeführt. Der kommerzielle Vulnerability Scanner Qualys bietet das Plugin 165052 (SUSE Security Update for Mozilla Firefox, SeaMonkey (SUSE-SA:2007:057)) zur Prüfung der Schwachstelle an.

Eine hohe Verbreitungsrate führt auch dazu, dass tendentiell mehr Schwachstellen von Angreifern, wie auch von Researchern entdeckt und untersucht werden. Das muss das Projektteam von Mozilla auch diesen Monat wieder zur Kenntnis nehmen, zumal im Update auf Version 2.0.8 wiederum sieben Schwachstellen geschlossen werden, die grundsätzlich als kritisch angesehen werden müssen. Für Benutzer, wie auch Unternehmen, die Firefox einsetzen ist das entsprechende Update Pflicht und sollte baldmöglichst eingespielt werden.

Produktinfo

Typ

Hersteller

Name

Version

Lizenz

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 8.1
VulDB Meta Temp Score: 7.3

VulDB Base Score: 8.1
VulDB Temp Score: 7.3
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Erweiterte Rechte
CWE: CWE-20
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Proof-of-Concept

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Nessus ID: 28226
Nessus Name: Mozilla Thunderbird < 2.0.0.9 Multiple Vulnerabilities
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍
Nessus Context: 🔍

OpenVAS ID: 59025
OpenVAS Name: Slackware Advisory SSA:2007-324-01 mozilla-thunderbird
OpenVAS Datei: 🔍
OpenVAS Family: 🔍

Qualys ID: 🔍
Qualys Name: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍
Patch: mozilla.org

Timelineinfo

01.09.2007 🔍
12.09.2007 +11 Tage 🔍
12.09.2007 +0 Tage 🔍
12.09.2007 +0 Tage 🔍
16.09.2007 +4 Tage 🔍
19.10.2007 +33 Tage 🔍
19.10.2007 +0 Tage 🔍
01.11.2007 +12 Tage 🔍
16.11.2007 +15 Tage 🔍
21.11.2007 +5 Tage 🔍
16.03.2021 +4864 Tage 🔍

Quelleninfo

Hersteller: mozilla.org
Produkt: mozilla.org

Advisory: MFSA2007-31
Person: Michal Zalewski
Firma: Billy (BK) Rios
Status: Nicht definiert
Bestätigung: 🔍

CVE: CVE-2007-4841 (🔍)
GCVE (CVE): GCVE-0-2007-4841
GCVE (VulDB): GCVE-100-3406
X-Force: 38323
SecurityFocus: 25543 - Mozilla Firefox 2.0.0.6 Unspecified Protocol Handling Command Injection Vulnerability
Secunia: 27744 - Slackware update for mozilla-thunderbird, Highly Critical
OSVDB: 38044 - Mozilla Multiple Products JavaScript Engine Multiple Unspecified Memory Corruption
Vulnerability Center: 16035 - Mozilla Firefox <2.0.0.8 Remote Code Execution via Unexpected URI in mailto, nntp, news or snews, Medium
Vupen: ADV-2007-3544

Siehe auch: 🔍

Eintraginfo

Erstellt: 01.11.2007 09:21
Aktualisierung: 16.03.2021 07:10
Anpassungen: 01.11.2007 09:21 (84), 31.01.2018 09:53 (10), 16.03.2021 07:10 (2)
Komplett: 🔍
Cache ID: 216:1AC:103

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Are you interested in using VulDB?

Download the whitepaper to learn more about our service!