BDU:2020-01450: Уязвимость программного обеспечения Firefox, Firefox-esr, связанная с непринятием мер по защите структуры веб-страницы, позволяющая нарушителю оказать воздействие на целостность данных

Описание уязвимости Уязвимость программного обеспечения Firefox, Firefox-esr связана с ошибкой вставки некоторых меток из буфера, которые неправильно приписывали правило namespace. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность данных
Вендор Canonical Ltd., Red Hat Inc., ООО «РусБИТех-Астра», Сообщество свободного программного обеспечения, Novell Inc., Mozilla Corp., АО «Концерн ВНИИНС»
Наименование ПО Ubuntu, Red Hat Enterprise Linux, Astra Linux Special Edition (запись в едином реестре российских программ №369), Debian GNU/Linux, OpenSUSE Leap, Firefox, Firefox ESR, ОС ОН «Стрелец» (запись в едином реестре российских программ №6177)
Версия ПО 16.04 LTS (Ubuntu), 6 (Red Hat Enterprise Linux), 7 (Red Hat Enterprise Linux), 18.04 LTS (Ubuntu), 1.6 «Смоленск» (Astra Linux Special Edition), 8.0 (Debian GNU/Linux), 9.0 (Debian GNU/Linux), 19.04 (Ubuntu), 8 (Red Hat Enterprise Linux), 15.1 (OpenSUSE Leap), 19.10 (Ubuntu), до 71.0 (Firefox), до 68.4 (Firefox ESR), 1.0 (ОС ОН «Стрелец»)
Тип ПО Операционная система, Прикладное ПО информационных систем
Операционные системы и аппаратные платформы
  • Canonical Ltd. Ubuntu 16.04 LTS 32-bit
  • Canonical Ltd. Ubuntu 16.04 LTS 64-bit
  • Red Hat Inc. Red Hat Enterprise Linux 6 Не указана
  • Red Hat Inc. Red Hat Enterprise Linux 7 Не указана
  • Canonical Ltd. Ubuntu 18.04 LTS Не указана
  • ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск» Не указана (запись в едином реестре российских программ №369)
  • Сообщество свободного программного обеспечения Debian GNU/Linux 8.0 Не указана
  • Сообщество свободного программного обеспечения Debian GNU/Linux 9.0 Не указана
  • Canonical Ltd. Ubuntu 19.04 Не указана
  • Red Hat Inc. Red Hat Enterprise Linux 8 Не указана
  • Novell Inc. OpenSUSE Leap 15.1 Не указана
  • Canonical Ltd. Ubuntu 19.10 Не указана
  • АО «Концерн ВНИИНС» ОС ОН «Стрелец» 1.0 Не указана (запись в едином реестре российских программ №6177)
Тип ошибки Непринятие мер по защите структуры веб-страницы (или \«Межсайтовая сценарная атака\»)
Идентификатор типа ошибки CWE-79
Класс уязвимости Уязвимость кода
Дата выявления 03.12.2019
Базовый вектор уязвимости
  • CVSS 2.0: AV:N/AC:M/Au:N/C:P/I:P/A:N
  • CVSS 3.0: AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Уровень опасности уязвимости Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5,8) Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,1)
Возможные меры по устранению уязвимости
Использование рекомендаций:
Для Firefox:
Обновление программного обеспечения до 73.0.1-1 или более поздней версии

Для Firefox ESR
Обновление программного обеспечения до 68.5.0esr-1 или более поздней версии

Для Debian GNU/Linux:
Обновление программного обеспечения (пакета firefox) до 73.0.1-1 или более поздней версии

Для Astra Linux:
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20200327SE16

Для Ubuntu:
https://usn.ubuntu.com/4234-1/
https://usn.ubuntu.com/4241-1/

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/errata/RHSA-2020:0085
https://access.redhat.com/errata/RHSA-2020:0086
https://access.redhat.com/errata/RHSA-2020:0111
https://access.redhat.com/errata/RHSA-2020:0120
https://access.redhat.com/errata/RHSA-2020:0123
https://access.redhat.com/errata/RHSA-2020:0127
https://access.redhat.com/errata/RHSA-2020:0292
https://access.redhat.com/errata/RHSA-2020:0295

Для программных продуктов Novell Inc.:
https://lists.opensuse.org/opensuse-security-announce/2020-01/msg00029.html
https://lists.opensuse.org/opensuse-security-announce/2020-01/msg00043.html

Для ОС ОН «Стрелец»: https://strelets.net/patchi-i-obnovleniya-bezopasnosti#kumulyativnoe-obnovlenie
Статус уязвимости Подтверждена производителем
Наличие эксплойта Данные уточняются
Способ эксплуатации
  • Инъекция
Способ устранения Обновление программного обеспечения
Информация об устранении Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
Прочая информация Данные уточняются