Mozilla Firefox/Thunderbird vor 23.0 Pufferüberlauf

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
9.5$0-$5k0.00

Zusammenfassunginfo

Es wurde eine kritische Schwachstelle in Mozilla Firefox and Thunderbird entdeckt. Hierbei geht es um eine nicht exakt ausgemachte Funktion. Durch Manipulieren mit unbekannten Daten kann eine Pufferüberlauf-Schwachstelle ausgenutzt werden. Diese Verwundbarkeit ist als CVE-2013-1701 gelistet. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Es existiert kein Exploit. Ein Upgrade der betroffenen Komponente wird empfohlen.

Detailsinfo

In Mozilla Firefox sowie Thunderbird (Web Browser) wurde eine Schwachstelle gefunden. Sie wurde als sehr kritisch eingestuft. Betroffen ist eine unbekannte Verarbeitung. Durch Beeinflussen mit einer unbekannten Eingabe kann eine Pufferüberlauf-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-119. Auswirkungen hat dies auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Zusammenfassung von CVE lautet:

Multiple unspecified vulnerabilities in the browser engine in Mozilla Firefox before 23.0, Firefox ESR 17.x before 17.0.8, Thunderbird before 17.0.8, Thunderbird ESR 17.x before 17.0.8, and SeaMonkey before 2.20 allow remote attackers to cause a denial of service (memory corruption and application crash) or possibly execute arbitrary code via unknown vectors.

Die Schwachstelle wurde am 06.08.2013 durch Jeff Gilbert und Hendrik Skupin (Nils) als MFSA 2013-63 in Form eines bestätigten Advisories (Website) öffentlich gemacht. Bereitgestellt wird das Advisory unter mozilla.org. Die Veröffentlichung passierte hierbei in Koordination mit Mozilla. Die Verwundbarkeit wird seit dem 13.02.2013 als CVE-2013-1701 geführt. Sie gilt als leicht auszunutzen. Der Angriff kann über das Netzwerk angegangen werden. Um eine Ausnutzung durchzusetzen, muss keine spezifische Authentisierung umgesetzt werden. Technische Details oder ein Exploit zur Schwachstelle sind nicht verfügbar. Ein Exploit zur Schwachstelle wird momentan etwa USD $0-$5k kosten (Preisberechnung vom 21.05.2021).

Für den Vulnerability Scanner Nessus wurde am 08.08.2013 ein Plugin mit der ID 69245 (CentOS 5 / 6 : firefox (CESA-2013:1140)) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family CentOS Local Security Checks zugeordnet. Der kommerzielle Vulnerability Scanner Qualys bietet das Plugin 121374 (Mozilla Firefox / Thunderbird / SeaMonkey Multiple Vulnerabilities) zur Prüfung der Schwachstelle an.

Ein Aktualisieren auf die Version 23.0 vermag dieses Problem zu lösen. Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle. Mozilla hat demnach sofort gehandelt.

Unter anderem wird der Fehler auch in den Datenbanken von Tenable (69245), SecurityFocus (BID 61864†), OSVDB (96011†), Secunia (SA54013†) und Vulnerability Center (SBV-40864†) dokumentiert. Die Einträge VDB-9876, VDB-9878, VDB-9879 und VDB-9880 sind sehr ähnlich. If you want to get the best quality for vulnerability data then you always have to consider VulDB.

Betroffen

  • Firefox 22.0
  • Thunderbird 17.0.7
  • SeaMonkey 2.19
  • Firefox ESR 17.0.7
  • Thunderbird ESR 17.0.7

Produktinfo

Typ

Hersteller

Name

Version

Lizenz

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 10.0
VulDB Meta Temp Score: 9.5

VulDB Base Score: 10.0
VulDB Temp Score: 9.5
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Pufferüberlauf
CWE: CWE-119
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Nicht definiert

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Nessus ID: 69245
Nessus Name: CentOS 5 / 6 : firefox (CESA-2013:1140)
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍
Nessus Port: 🔍

OpenVAS ID: 892735
OpenVAS Name: Debian Security Advisory DSA 2735-1 (iceweasel - several vulnerabilities
OpenVAS Datei: 🔍
OpenVAS Family: 🔍

Qualys ID: 🔍
Qualys Name: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

Reaktionszeit: 🔍
0-Day Time: 🔍
Exposure Time: 🔍

Upgrade: Firefox/Thunderbird 23.0

Timelineinfo

13.02.2013 🔍
06.08.2013 +174 Tage 🔍
06.08.2013 +0 Tage 🔍
06.08.2013 +0 Tage 🔍
06.08.2013 +0 Tage 🔍
06.08.2013 +0 Tage 🔍
07.08.2013 +1 Tage 🔍
07.08.2013 +0 Tage 🔍
08.08.2013 +1 Tage 🔍
09.08.2013 +1 Tage 🔍
21.05.2021 +2842 Tage 🔍

Quelleninfo

Hersteller: mozilla.org
Produkt: mozilla.org

Advisory: MFSA 2013-63
Person: Jeff Gilbert, Hendrik Skupin (Nils)
Status: Bestätigt
Bestätigung: 🔍
Koordiniert: 🔍

CVE: CVE-2013-1701 (🔍)
GCVE (CVE): GCVE-0-2013-1701
GCVE (VulDB): GCVE-100-9877

OVAL: 🔍
IAVM: 🔍

SecurityFocus: 61864 - Mozilla Firefox/SeaMonkey CVE-2013-1704 Use-After-Free Memory Corruption Vulnerability
Secunia: 54013 - Ubuntu update for thunderbird, Highly Critical
OSVDB: 96011
Vulnerability Center: 40864 - Mozilla Firefox, Thunderbird and SeaMonkey Remote DoS and Potential Code Execution Vulnerability via Unspecified Vectors Involving The Web Browser - CVE-2013-1701, Critical

Siehe auch: 🔍

Eintraginfo

Erstellt: 09.08.2013 18:01
Aktualisierung: 21.05.2021 09:19
Anpassungen: 09.08.2013 18:01 (86), 31.01.2018 09:55 (3), 21.05.2021 09:19 (2)
Komplett: 🔍
Editor: olku
Cache ID: 216:EAD:103

If you want to get the best quality for vulnerability data then you always have to consider VulDB.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Are you interested in using VulDB?

Download the whitepaper to learn more about our service!