BDU:2022-00297: Уязвимость функции «Copy as curl» в DevTools почтового клиента Thunderbird, браузеров Firefox и Firefox ESR, позволяющая нарушителю выполнить произвольные команды в системе

Описание уязвимости Уязвимость функции «Copy as curl» в DevTools почтового клиента Thunderbird, браузеров Firefox и Firefox ESR связана с выполнением произвольных команд в целевой системе из-за неправильной проверки ввода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольные команды в системе, если скопированные данные вставлены в командную строку Powershell
Вендор Сообщество свободного программного обеспечения, ООО «Ред Софт», Mozilla Corp., АО «ИВК», АО "НППКТ"
Наименование ПО Debian GNU/Linux, РЕД ОС (запись в едином реестре российских программ №3751), Firefox, Firefox ESR, Thunderbird, Альт 8 СП, ОСОН ОСнова Оnyx (запись в едином реестре российских программ №5913)
Версия ПО
  • 9.0 (Debian GNU/Linux)
  • 10.0 (Debian GNU/Linux)
  • 11.0 (Debian GNU/Linux)
  • 7.3 (РЕД ОС)
  • до 96 (Firefox)
  • до 91.5 (Firefox ESR)
  • до 91.5 (Thunderbird)
  • - (Альт 8 СП)
  • до 2.4.2 (ОСОН ОСнова Оnyx)
Тип ПО Операционная система, Прикладное ПО информационных систем
Операционные системы и аппаратные платформы
  • Сообщество свободного программного обеспечения Debian GNU/Linux 9.0
  • Сообщество свободного программного обеспечения Debian GNU/Linux 10.0
  • Сообщество свободного программного обеспечения Debian GNU/Linux 11.0
  • ООО «Ред Софт» РЕД ОС 7.3 (запись в едином реестре российских программ №3751)
Тип ошибки Непринятие мер по нейтрализации специальных элементов, используемых в команде операционной системы (Внедрение в команду операционной системы)
Идентификатор типа ошибки
Класс уязвимости Уязвимость кода
Дата выявления 11.01.2022
Базовый вектор уязвимости
Уровень опасности уязвимости Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,1)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,8)
Возможные меры по устранению уязвимости
Использование рекомендаций:
Для программных продуктов Mozilla Corp.:
https://www.mozilla.org/en-US/security/advisories/mfsa2022-02/
https://www.mozilla.org/en-US/security/advisories/mfsa2022-01/
https://www.mozilla.org/en-US/security/advisories/mfsa2022-03/

Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для Debian:
https://security-tracker.debian.org/tracker/CVE-2022-22744

Для ОС Альт 8 СП:
Обновление программного обеспечения до актуальной версии

Для ОСОН Основа:
Обновление программного обеспечения thunderbird до версии 1:91.5.0+repack-2~deb10u1.osnova1
Статус уязвимости Подтверждена производителем
Наличие эксплойта Данные уточняются
Способ эксплуатации
  • Инъекция
Способ устранения Обновление программного обеспечения
Информация об устранении Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
Прочая информация Данные уточняются
Последние изменения