Банк данных угроз безопасности информации

Федеральная служба по техническому и экспортному контролю

ФСТЭК России

Государственный научно-исследовательский испытательный институт проблем технической защиты информации

ФАУ «ГНИИИ ПТЗИ ФСТЭК России»

BDU:2022-03075: Уязвимость изолированной среды iframe веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird, позволяющая нарушителю обойти существующие ограничения безопасности

Описание уязвимости	Уязвимость изолированной среды iframe веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с неверным ограничением визуализируемых слоев или фреймов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие ограничения безопасности для загруженных фреймов
Вендор	Red Hat Inc., Сообщество свободного программного обеспечения, ООО «Ред Софт», ФССП России, АО «ИВК», Mozilla Corp., АО "НППКТ"
Наименование ПО	Red Hat Enterprise Linux, Debian GNU/Linux, РЕД ОС (запись в едином реестре российских программ №3751), ОС ТД АИС ФССП России, Альт 8 СП, Firefox, Thunderbird, Firefox ESR, ОСОН ОСнова Оnyx (запись в едином реестре российских программ №5913)
Версия ПО	7 (Red Hat Enterprise Linux) 9 (Debian GNU/Linux) 8 (Red Hat Enterprise Linux) 10 (Debian GNU/Linux) 8.2 Extended Update Support (Red Hat Enterprise Linux) 11 (Debian GNU/Linux) 8.1 Update Services for SAP Solutions (Red Hat Enterprise Linux) 8.4 Extended Update Support (Red Hat Enterprise Linux) 7.3 (РЕД ОС) ИК6 (ОС ТД АИС ФССП России) - (Альт 8 СП) до 100 (Firefox) до 91.9 (Thunderbird) 9 (Red Hat Enterprise Linux) до 91.9 (Firefox ESR) до 2.5 (ОСОН ОСнова Оnyx)
Тип ПО	Операционная система, Прикладное ПО информационных систем
Операционные системы и аппаратные платформы	Red Hat Inc. Red Hat Enterprise Linux 7 Сообщество свободного программного обеспечения Debian GNU/Linux 9 Red Hat Inc. Red Hat Enterprise Linux 8 Сообщество свободного программного обеспечения Debian GNU/Linux 10 Red Hat Inc. Red Hat Enterprise Linux 8.2 Extended Update Support Сообщество свободного программного обеспечения Debian GNU/Linux 11 Red Hat Inc. Red Hat Enterprise Linux 8.1 Update Services for SAP Solutions Red Hat Inc. Red Hat Enterprise Linux 8.4 Extended Update Support ООО «Ред Софт» РЕД ОС 7.3 (запись в едином реестре российских программ №3751) ФССП России ОС ТД АИС ФССП России ИК6 АО «ИВК» Альт 8 СП - Red Hat Inc. Red Hat Enterprise Linux 9
Тип ошибки	Раскрытие информации, Некорректное ограничение визуализируемых слоев пользовательского интерфейса
Идентификатор типа ошибки	CWE-200 CWE-1021
Класс уязвимости	Уязвимость архитектуры
Дата выявления	03.05.2022
Базовый вектор уязвимости	CVSS 2.0: AV:N/AC:H/Au:N/C:C/I:C/A:C CVSS 3.0: AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
Уровень опасности уязвимости	Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,6) Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)
Возможные меры по устранению уязвимости	Использование рекомендаций: Для программных продуктов Mozilla: https://www.mozilla.org/en-US/security/advisories/mfsa2022-16/ https://www.mozilla.org/en-US/security/advisories/mfsa2022-17/ https://www.mozilla.org/en-US/security/advisories/mfsa2022-18/ Для Debian GNU/Linux: https://security-tracker.debian.org/tracker/CVE-2022-29911 Для программных продуктов Red hat Inc.: https://access.redhat.com/security/cve/CVE-2022-29911 Для РЕД ОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/ Для ОС ТД АИС ФССП России: https://goslinux.fssp.gov.ru/2726972/ Для Альт 8 СП: https://altsp.su/obnovleniya-bezopasnosti/ Для ОСОН Основа: Обновление программного обеспечения firefox-esr до версии 91.10.0esr+repack-1~deb10u1.osnova1 Для ОСОН Основа: Обновление программного обеспечения thunderbird до версии 1:91.10.0+repack-1~deb10u1.osnova1
Статус уязвимости	Подтверждена производителем
Наличие эксплойта	Данные уточняются
Способ эксплуатации	Несанкционированный сбор информации Манипулирование структурами данных
Способ устранения	Обновление программного обеспечения
Информация об устранении	Уязвимость устранена
Ссылки на источники	https://www.mozilla.org/en-US/security/advisories/mfsa2022-16/ https://www.mozilla.org/en-US/security/advisories/mfsa2022-17/ https://www.mozilla.org/en-US/security/advisories/mfsa2022-18/ https://access.redhat.com/security/cve/CVE-2022-29911 https://security-tracker.debian.org/tracker/CVE-2022-29911 https://redos.red-soft.ru/support/secure/ https://goslinux.fssp.gov.ru/2726972/ https://altsp.su/obnovleniya-bezopasnosti/ https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.5/
Идентификаторы других систем описаний уязвимостей	CVE: CVE-2022-29911 MFSA: MFSA 2022-18 MFSA: MFSA 2022-17 MFSA: MFSA 2022-16
Прочая информация	Данные уточняются

Последние изменения