BDU:2019-04300

Опубликовано: 23 окт. 2018

Источник: fstec

CVSS3: 7.1

CVSS2: 6.2

EPSS Низкий

Описание

Уязвимость системы для разработки дополнений WebExtensions браузеров Firefox, Firefox ESR связана с отсутствием защиты служебных данных. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к локальным файлам (без предупреждения пользователя: «Access your data for all websites»)

Вендор

Canonical Ltd.

Red Hat Inc.

Сообщество свободного программного обеспечения

Mozilla Corp.

ООО «РусБИТех-Астра»

Наименование ПО

Ubuntu

Red Hat Enterprise Linux

Debian GNU/Linux

Firefox

Firefox ESR

Astra Linux Special Edition

Astra Linux Special Edition для «Эльбрус»

Версия ПО

14.04 LTS (Ubuntu)

6 (Red Hat Enterprise Linux)

7 (Red Hat Enterprise Linux)

16.04 LTS (Ubuntu)

9 (Debian GNU/Linux)

18.04 LTS (Ubuntu)

до 63 (Firefox)

до 60.3 (Firefox ESR)

18.10 (Ubuntu)

1.6 «Смоленск» (Astra Linux Special Edition)

8.0 (Debian GNU/Linux)

8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 14.04 LTS

Red Hat Inc. Red Hat Enterprise Linux 6

Red Hat Inc. Red Hat Enterprise Linux 7

Canonical Ltd. Ubuntu 16.04 LTS

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Canonical Ltd. Ubuntu 18.04 LTS

Canonical Ltd. Ubuntu 18.10

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Сообщество свободного программного обеспечения Debian GNU/Linux 8.0

ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,2)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Astra Linux:

https://wiki.astralinux.ru/pages/viewpage.action?pageId=44892734

Для программных продуктов Mozilla Corp.:

https://www.mozilla.org/en-US/security/advisories/mfsa2018-26/

https://www.mozilla.org/en-US/security/advisories/mfsa2018-27/

Для Ubuntu:

https://usn.ubuntu.com/3801-1/

Для Debian GNU/Linux:

https://www.debian.org/security/2018/dsa-4324

https://lists.debian.org/debian-lts-announce/2018/11/msg00008.html

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2018-12397

Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»:

обновить пакет firefox-esr до 68.12.0esr-1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2018-12397
CVE

EPSS

Процентиль: 26%

0.00085

Низкий

7.1 High

CVSS3

6.2 Medium

CVSS2

Связанные уязвимости

CVE-2018-12397

CVSS3: 7.1

ubuntu

больше 6 лет назад

A WebExtension can request access to local files without the warning prompt stating that the extension will "Access your data for all websites" being displayed to the user. This allows extensions to run content scripts in local pages without permission warnings when a local file is opened. This vulnerability affects Firefox ESR < 60.3 and Firefox < 63.

CVE-2018-12397

CVSS3: 7.1

redhat

почти 7 лет назад

CVE-2018-12397

CVSS3: 7.1

nvd

больше 6 лет назад

CVE-2018-12397

CVSS3: 7.1

debian

больше 6 лет назад

A WebExtension can request access to local files without the warning p ...

GHSA-xxh5-92qj-c4gh

CVSS3: 7.1

github

около 3 лет назад

EPSS

Процентиль: 26%

0.00085

Низкий

7.1 High

CVSS3

6.2 Medium

CVSS2