800+ IT
News
als RSS Feed abonnieren📚 Mozila Firefox 43 Address Bar Paste Spoofing
💡 Newskategorie: PoC
🔗 Quelle: scip.ch
Allgemein
scipID: 80698
Betroffen: Mozila Firefox 43
Veröffentlicht: 26.01.2016 (Jordi Chancel)
Risiko: kritisch
Erstellt: 27.01.2016
Eintrag: 73.4% komplett
Beschreibung
In Mozila Firefox 43, ein Webbrowser, wurde eine kritische Schwachstelle gefunden. Dabei geht es um eine unbekannte Funktion der Komponente Address Bar. Mit der Manipulation durch Paste kann eine Spoofing-Schwachstelle ausgenutzt werden. Dies wirkt sich aus auf Vertraulichkeit, Integrität und Verfügbarkeit.
Die Schwachstelle wurde am 26.01.2016 durch Jordi Chancel als MFSA2016-09 in Form eines bestätigten Security Advisories (Website) an die Öffentlichkeit getragen. Bereitgestellt wird das Advisory unter mozilla.org. Eine eindeutige Identifikation der Schwachstelle wird seit dem 20.01.2016 mit CVE-2016-1942 vorgenommen. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Um eine Ausnutzung durchzusetzen, muss keine spezifische Authentisierung umgesetzt werden. Nicht vorhanden sind sowohl technische Details als auch ein Exploit zur Schwachstelle. Das Advisory weist darauf hin:
Ein Upgrade auf die Version 44 vermag dieses Problem zu beheben. Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle. Mozila hat folglich sofort reagiert. Zusätzliche Informationen finden sich unter bugzilla.mozilla.org. Die Einträge 80692 sind sehr ähnlich.Security researcher Jordi Chancel reported two issues involving addressbar spoofing.
CVSS
Base Score: 6.8 (CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P) [?]
Temp Score: 5.9 (CVSS2#E:ND/RL:OF/RC:C) [?]
CPE
Exploiting
Klasse: Spoofing
Lokal: Nein
Remote: Ja
Verfügbarkeit: Nein
Aktuelle Preisschätzung: $10k-$25k (0-day) / $2k-$5k (Heute)
Gegenmassnahmen
Empfehlung: Upgrade
Status: Offizieller Fix
Reaction Time: 0 Tage seit gemeldet
0-Day Time: 0 Tage seit gefunden
Exposure Time: 0 Tage seit bekannt
Upgrade: Firefox 44
Timeline
20.01.2016 | CVE zugewiesen
26.01.2016 | Advisory veröffentlicht
26.01.2016 | Gegenmassnahme veröffentlicht
27.01.2016 | VulDB Eintrag erstellt
27.01.2016 | VulDB Eintrag aktualisiert
Quellen
Advisory: MFSA2016-09
Person: Jordi Chancel
Status: Bestätigt
CVE: CVE-2016-1942 (mitre.org) (nvd.nist.org) (cvedetails.com)
Diverses: bugzilla.mozilla.org
Siehe auch: 80692