CVE-2019-11730
Açıklama
Bir kullanıcının yerel olarak kaydedilmiş bir HTML dosyasını açması durumunda, isimleri biliniyorsa veya tahmin edilebiliyorsa, bu dosyanın aynı dizindeki veya alt dizinlerdeki diğer dosyalara erişmek için file: URI'lerini kullanabildiği bir güvenlik açığı mevcuttur. Ardından, bu dizinlerde saklanan herhangi bir dosyanın içeriğini okumak için Fetch API kullanılabilir ve bu dosyalar bir sunucuya yüklenebilir. Popüler bir Android mesajlaşma uygulamasıyla birlikte, kötü amaçlı bir HTML ekinin kullanıcıya gönderilmesi ve kullanıcının bu eki Firefox ile açması durumunda, uygulamanın yerel olarak kaydedilen dosya adları için öngörülebilir kalıbı nedeniyle, kurbanın diğer yazışmacılardan aldığı eklerin okunmasının mümkün olduğu gösterilmiştir. Bu güvenlik açığı Firefox ESR < 60.8, Firefox < 68 ve Thunderbird < 60.8 sürümlerini etkilemektedir.
Nasıl düzeltilir
- mozilla firefox68.0 ya da sonraki bir sürüm
- mozilla firefox_esr60.8 ya da sonraki bir sürüm
- mozilla thunderbird60.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mozilla firefox | v < 68.0 | 68.0 |
| mozilla firefox_esr | v < 60.8 | 60.8 |
| mozilla thunderbird | v < 60.8 | 60.8 |
| debian debian_linux | 8.0 | — |
| opensuse leap | 15.0, 15.1 | — |
| suse package_hub | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.