BDU:2019-04298

Опубликовано: 23 окт. 2018

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость системы для разработки дополнений WebExtensions браузеров Firefox, Firefox ESR связана с недостатками контроля доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации переписав заголовки Host: request с помощью API webRequest

Вендор

Canonical Ltd.

Red Hat Inc.

Сообщество свободного программного обеспечения

Mozilla Corp.

ООО «РусБИТех-Астра»

Наименование ПО

Ubuntu

Red Hat Enterprise Linux

Debian GNU/Linux

Firefox

Firefox ESR

Astra Linux Special Edition

Astra Linux Special Edition для «Эльбрус»

Версия ПО

14.04 LTS (Ubuntu)

6 (Red Hat Enterprise Linux)

7 (Red Hat Enterprise Linux)

16.04 LTS (Ubuntu)

9 (Debian GNU/Linux)

18.04 LTS (Ubuntu)

до 63 (Firefox)

до 60.3 (Firefox ESR)

18.10 (Ubuntu)

1.6 «Смоленск» (Astra Linux Special Edition)

8.0 (Debian GNU/Linux)

8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 14.04 LTS

Red Hat Inc. Red Hat Enterprise Linux 6

Red Hat Inc. Red Hat Enterprise Linux 7

Canonical Ltd. Ubuntu 16.04 LTS

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Canonical Ltd. Ubuntu 18.04 LTS

Canonical Ltd. Ubuntu 18.10

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Сообщество свободного программного обеспечения Debian GNU/Linux 8.0

ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Astra Linux:

https://wiki.astralinux.ru/pages/viewpage.action?pageId=44892734

Для программных продуктов Mozilla Corp.:

https://www.mozilla.org/en-US/security/advisories/mfsa2018-26/

https://www.mozilla.org/en-US/security/advisories/mfsa2018-27/

Для Ubuntu:

https://usn.ubuntu.com/3801-1/

Для Debian GNU/Linux:

https://lists.debian.org/debian-lts-announce/2018/11/msg00008.html

https://www.debian.org/security/2018/dsa-4324

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2018-12395

Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»:

обновить пакет firefox-esr до 68.12.0esr-1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2018-12395
CVE

EPSS

Процентиль: 82%

0.01851

Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVE-2018-12395

CVSS3: 7.5

ubuntu

больше 6 лет назад

By rewriting the Host: request headers using the webRequest API, a WebExtension can bypass domain restrictions through domain fronting. This would allow access to domains that share a host that are otherwise restricted. This vulnerability affects Firefox ESR < 60.3 and Firefox < 63.

CVE-2018-12395

CVSS3: 7.5

redhat

почти 7 лет назад

CVE-2018-12395

CVSS3: 7.5

nvd

больше 6 лет назад

CVE-2018-12395

CVSS3: 7.5

debian

больше 6 лет назад

By rewriting the Host: request headers using the webRequest API, a Web ...

GHSA-vw7x-c78h-8w2r

CVSS3: 7.5

github

около 3 лет назад

EPSS

Процентиль: 82%

0.01851

Низкий

7.5 High

CVSS3

7.8 High

CVSS2