Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2019-00681

Опубликовано: 29 янв. 2019
Источник: fstec
CVSS3: 8.8
CVSS2: 9
EPSS Низкий

Описание

Уязвимость компонента Proxy Auto-Config браузера Firefox связана с использованием открытой переадресации. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, обойти ограничения безопасности при автоматической настройке прокси сервера (Proxy Auto-Configuration (PAC)) и произвести атаки на службы привязанные к локальному хосту с помощью специально сформированной веб-страницы

Вендор

Canonical Ltd.
ООО «РусБИТех-Астра»
Mozilla Corp.

Наименование ПО

Ubuntu
Astra Linux Special Edition
Firefox

Версия ПО

14.04 LTS (Ubuntu)
16.04 LTS (Ubuntu)
18.04 LTS (Ubuntu)
18.10 (Ubuntu)
1.6 «Смоленск» (Astra Linux Special Edition)
до 65 (Firefox)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,8)

Возможные меры по устранению уязвимости

Для Ubuntu использование рекомендаций: https://usn.ubuntu.com/3874-1/
Для Mozilla Firefox использование рекомендаций: https://www.mozilla.org/en-US/security/advisories/mfsa2019-01/
Для ОС Astra Linux 1.6 «Смоленск»:
- обновить пакет thunderbird до 1:60.8.0-1~deb9u1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/pages/viewpage.action?pageId=57444186
- обновить пакет firefox до 68.0.2-1astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/pages/viewpage.action?pageId=57444186

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 85%
0.0236
Низкий

8.8 High

CVSS3

9 Critical

CVSS2

Связанные уязвимости

CVSS3: 5.9
ubuntu
около 7 лет назад

When proxy auto-detection is enabled, if a web server serves a Proxy Auto-Configuration (PAC) file or if a PAC file is loaded locally, this PAC file can specify that requests to the localhost are to be sent through the proxy to another server. This behavior is disallowed by default when a proxy is manually configured, but when enabled could allow for attacks on services and tools that bind to the localhost for networked behavior if they are accessed through browsing. This vulnerability affects Firefox < 65.

CVSS3: 6.1
redhat
почти 7 лет назад

When proxy auto-detection is enabled, if a web server serves a Proxy Auto-Configuration (PAC) file or if a PAC file is loaded locally, this PAC file can specify that requests to the localhost are to be sent through the proxy to another server. This behavior is disallowed by default when a proxy is manually configured, but when enabled could allow for attacks on services and tools that bind to the localhost for networked behavior if they are accessed through browsing. This vulnerability affects Firefox < 65.

CVSS3: 5.9
nvd
около 7 лет назад

When proxy auto-detection is enabled, if a web server serves a Proxy Auto-Configuration (PAC) file or if a PAC file is loaded locally, this PAC file can specify that requests to the localhost are to be sent through the proxy to another server. This behavior is disallowed by default when a proxy is manually configured, but when enabled could allow for attacks on services and tools that bind to the localhost for networked behavior if they are accessed through browsing. This vulnerability affects Firefox < 65.

CVSS3: 5.9
debian
около 7 лет назад

When proxy auto-detection is enabled, if a web server serves a Proxy A ...

CVSS3: 5.9
github
больше 3 лет назад

When proxy auto-detection is enabled, if a web server serves a Proxy Auto-Configuration (PAC) file or if a PAC file is loaded locally, this PAC file can specify that requests to the localhost are to be sent through the proxy to another server. This behavior is disallowed by default when a proxy is manually configured, but when enabled could allow for attacks on services and tools that bind to the localhost for networked behavior if they are accessed through browsing. This vulnerability affects Firefox < 65.

EPSS

Процентиль: 85%
0.0236
Низкий

8.8 High

CVSS3

9 Critical

CVSS2