CVE-2019-11730
Təsvir
Belə bir zəiflik mövcuddur ki, istifadəçi lokal olaraq yadda saxlanılmış HTML faylını açdıqda, əgər adları məlumdursa və ya təxmin edilirsə, bu fayl eyni kataloqdakı və ya alt kataloqlardakı digər fayllara daxil olmaq üçün file: URI-lərindən istifadə edə bilər. Daha sonra Fetch API həmin kataloqlarda saxlanılan hər hansı faylın məzmununu oxumaq üçün istifadə edilə bilər və onlar serverə yüklənə bilər. Populyar bir Android mesajlaşma tətbiqi ilə birlikdə nümayiş etdirildi ki, əgər istifadəçiyə zərərli HTML qoşması göndərilərsə və onlar həmin qoşmanı Firefox brauzerində açarlarsa, həmin tətbiqin lokal olaraq yadda saxlanılan fayl adları üçün proqnozlaşdırıla bilən şablonu səbəbindən, qurbanın digər yazışmalardan aldığı qoşmaları oxumaq mümkündür. Bu zəiflik Firefox ESR < 60.8, Firefox < 68 və Thunderbird < 60.8 versiyalarına təsir göstərir.
Necə düzəltmək olar
- mozilla firefox68.0 və ya daha yeni versiya
- mozilla firefox_esr60.8 və ya daha yeni versiya
- mozilla thunderbird60.8 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| mozilla firefox | v < 68.0 | 68.0 |
| mozilla firefox_esr | v < 60.8 | 60.8 |
| mozilla thunderbird | v < 60.8 | 60.8 |
| debian debian_linux | 8.0 | — |
| opensuse leap | 15.0, 15.1 | — |
| suse package_hub | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.