CVE-2021-38507
Açıklama
HTTP2'nin Fırsatçı Şifreleme (Opportunistic Encryption) özelliği (RFC 8164), bir bağlantının, 80 numaralı porttaki şifrelenmemiş bağlantılarla aynı kökenli olma dahil olmak üzere bir HTTP bağlantısının görsel özelliklerini korurken şeffaf bir şekilde TLS'ye yükseltilmesine izin verir. Ancak, aynı IP adresindeki ikinci bir şifreli port (örneğin port 8443) fırsatçı şifrelemeyi seçmediyse; bir ağ saldırganı tarayıcıdan port 443'e gelen bir bağlantıyı port 8443'e yönlendirerek tarayıcının port 8443 içeriğini HTTP ile aynı kökenli olarak değerlendirmesine neden olabilir. Bu durum, kullanımı düşük olan Fırsatçı Şifreleme özelliğinin devre dışı bırakılmasıyla çözülmüştür. Bu güvenlik açığı Firefox < 94, Thunderbird < 91.3 ve Firefox ESR < 91.3 sürümlerini etkilemektedir.
Nasıl düzeltilir
- mozilla firefox94.0 ya da sonraki bir sürüm
- mozilla firefox_esr91.3.0 ya da sonraki bir sürüm
- mozilla thunderbird91.3.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mozilla firefox | v < 94.0 | 94.0 |
| mozilla firefox_esr | v < 91.3.0 | 91.3.0 |
| mozilla thunderbird | v < 91.3.0 | 91.3.0 |
| debian debian_linux | 9.0, 10.0, 11.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.