BDU:2019-02947: Уязвимость браузеров Firefox ESR, Firefox и почтового клиента Thunderbird, существующая из-за недостаточной проверки параметров в сообщениях Prompt:Open IPC между дочерним и родительским процессами, позволяющая нарушителю выполнить произвольный код

Описание уязвимости Уязвимость браузеров Firefox ESR, Firefox и почтового клиента Thunderbird существует из-за недостаточной проверки параметров в сообщениях Prompt:Open IPC между дочерним и родительским процессами. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код в целевой системе в результате посещения пользователем вредоносной веб-страницы или открытия электронного письма с вредоносным web-контентом
Вендор Red Hat Inc., АО «ИВК», ООО «РусБИТех-Астра», Сообщество свободного программного обеспечения, Mozilla Corp., АО «Концерн ВНИИНС»
Наименование ПО Red Hat Enterprise Linux, Альт Линукс СПТ (запись в едином реестре российских программ №9), Astra Linux Special Edition (запись в едином реестре российских программ №369), Debian GNU/Linux, Firefox ESR, Firefox, Thunderbird, ОС ОН «Стрелец» (запись в едином реестре российских программ №6177)
Версия ПО 6 (Red Hat Enterprise Linux), 7 (Red Hat Enterprise Linux), 7.0 (Альт Линукс СПТ), 1.6 «Смоленск» (Astra Linux Special Edition), 8.0 (Debian GNU/Linux), 9.0 (Debian GNU/Linux), 8 (Red Hat Enterprise Linux), до 60.7.2 (Firefox ESR), до 67.0.4 (Firefox), до 60.7.2 (Thunderbird), 1.0 (ОС ОН «Стрелец»)
Тип ПО Операционная система, Прикладное ПО информационных систем
Операционные системы и аппаратные платформы
Тип ошибки Недостаточная проверка вводимых данных
Идентификатор типа ошибки CWE-20
Класс уязвимости Уязвимость кода
Дата выявления 19.06.2019
Базовый вектор уязвимости
  • CVSS 2.0: AV:N/AC:L/Au:N/C:C/I:C/A:C
  • CVSS 3.0: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Уровень опасности уязвимости Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10) Критический уровень опасности (базовая оценка CVSS 3.0 составляет 10)
Возможные меры по устранению уязвимости
Для Firefox:
Обновление программного обеспечения до 68.0.1-2 или более поздней версии
Для Firefox-esr:
Обновление программного обеспечения до 60.8.0esr-1 или более поздней версии
Для Thunderbird:
Обновление программного обеспечения до 1:60.8.0-1 или более поздней версии

Для Debian:
Обновление программного обеспечения (пакета firefox) до 68.0.1-2 или более поздней версии
Для Debian:
Обновление программного обеспечения (пакета firefox-esr) до 60.8.0esr-1~deb9u1 или более поздней версии
Для Debian:
Обновление программного обеспечения (пакета thunderbird) до 1:60.8.0-1~deb9u1 или более поздней версии

Для Альт Линукс СПТ:
https://cve.basealt.ru/otchet-po-obnovleniiam-ot-31072019.html

Для программных продуктов Red Hat Inc.:
https://bugzilla.redhat.com/show_bug.cgi?id=1722673

Для Astra Linux:
Обновление программного обеспечения (пакета Firefox) до 68.0.1-2 или более поздней версии
Обновление программного обеспечения (пакета Firefox ESR) до 60.8.0esr-1~deb9u1 или более поздней версии
Обновление программного обеспечения (пакета Thunderbird) до 1:60.8.0-1~deb9u1 или более поздней версии

Для ОС ОН «Стрелец»: https://strelets.net/patchi-i-obnovleniya-bezopasnosti#kumulyativnoe-obnovlenie
Статус уязвимости Подтверждена производителем
Наличие эксплойта Данные уточняются
Способ эксплуатации
  • Манипулирование ресурсами
Способ устранения Обновление программного обеспечения
Информация об устранении Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
Прочая информация -