CVE-2023-34414
Açıklama
Geçersiz TLS sertifikalarına sahip siteler için hata sayfası, Firefox'un istemleri ve izin iletişim kutularını insan tepki süresi gecikmelerini istismar eden saldırılardan korumak için kullandığı activation-delay özelliğinden yoksundu. Kötü niyetli bir sayfa, sertifika hatası olan bir siteye yönlendirmeden hemen önce kullanıcının kesin konumlara tıklamasını sağlarsa ve aynı zamanda oluşturucuyu (renderer) aşırı derecede meşgul ederse, hata sayfasının yüklendiği an ile ekranın gerçekte yenilendiği an arasında bir boşluk oluşturabilirdi. Doğru zamanlama ile elde edilen bu tıklamalar söz konusu boşluğa denk gelebilir ve o site için sertifika hatasını geçersiz kılan düğmeyi etkinleştirebilirdi. Bu güvenlik açığı Firefox ESR < 102.12, Firefox < 114 ve Thunderbird < 102.12 sürümlerini etkilemektedir.
Nasıl düzeltilir
- mozilla firefox114.0 ya da sonraki bir sürüm
- mozilla firefox_esr102.12 ya da sonraki bir sürüm
- mozilla thunderbird102.12 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mozilla firefox | v < 114.0 | 114.0 |
| mozilla firefox_esr | v < 102.12 | 102.12 |
| mozilla thunderbird | v < 102.12 | 102.12 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.