800+ IT
News
als RSS Feed abonnieren📚 Mozila Firefox 43 Pufferüberlauf [CVE-2016-1931]
💡 Newskategorie: PoC
🔗 Quelle: scip.ch
Allgemein
scipID: 80696
Betroffen: Mozila Firefox 43
Veröffentlicht: 26.01.2016 (Bob Clary/Carsten Book/Christian Holler/Nicolas Pierron/Eric Rescorla/Tyson Smith/Gabor Krizsanits/Randell Jesup)
Risiko: kritisch
Erstellt: 27.01.2016
Eintrag: 71.8% komplett
Beschreibung
Eine kritische Schwachstelle wurde in Mozila Firefox 43, ein Webbrowser, entdeckt. Es geht hierbei um eine unbekannte Funktion. Dank der Manipulation mit einer unbekannten Eingabe kann eine Pufferüberlauf-Schwachstelle ausgenutzt werden. Das hat Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.
Die Schwachstelle wurde am 26.01.2016 durch Bob Clary, Carsten Book, Christian Holler, Nicolas Pierron, Eric Rescorla, Tyson Smith, Gabor Krizsanits und Randell Jesup als MFSA2016-01 in Form eines bestätigten Security Advisories (Website) veröffentlicht. Auf mozilla.org kann das Advisory eingesehen werden. Die Identifikation der Schwachstelle findet als CVE-2016-1931 statt. Der Angriff kann über das Netzwerk passieren. Das Ausnutzen erfordert keine spezifische Authentisierung. Es sind weder technische Details noch ein Exploit zur Schwachstelle bekannt. Das Advisory weist darauf hin:
Ein Upgrade auf die Version 44 vermag dieses Problem zu beheben. Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle. Mozila hat hiermit sofort reagiert. Unter bugzilla.mozilla.org werden zusätzliche Informationen bereitgestellt. Schwachstellen ähnlicher Art sind dokumentiert unter 80684.Mozilla developers and community identified and fixed several memory safety bugs in the browser engine used in Firefox and other Mozilla-based products. Some of these bugs showed evidence of memory corruption under certain circumstances, and we presume that with enough effort at least some of these could be exploited to run arbitrary code.
CVSS
Base Score: 6.8 (CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P) [?]
Temp Score: 5.9 (CVSS2#E:ND/RL:OF/RC:C) [?]
CPE
Exploiting
Klasse: Pufferüberlauf
Lokal: Nein
Remote: Ja
Verfügbarkeit: Nein
Aktuelle Preisschätzung: $25k-$50k (0-day) / $10k-$25k (Heute)
Gegenmassnahmen
Empfehlung: Upgrade
Status: Offizieller Fix
Reaction Time: 0 Tage seit gemeldet
0-Day Time: 0 Tage seit gefunden
Exposure Time: 0 Tage seit bekannt
Upgrade: Firefox 44
Timeline
26.01.2016 | Advisory veröffentlicht
26.01.2016 | Gegenmassnahme veröffentlicht
27.01.2016 | VulDB Eintrag erstellt
27.01.2016 | VulDB Eintrag aktualisiert
Quellen
Advisory: MFSA2016-01
Person: Bob Clary/Carsten Book/Christian Holler/Nicolas Pierron/Eric Rescorla/Tyson Smith/Gabor Krizsanits/Randell Jesup
Status: Bestätigt
CVE: CVE-2016-1931 (mitre.org) (nvd.nist.org) (cvedetails.com)
Diverses: bugzilla.mozilla.org
Siehe auch: 80684