Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2020-01970

Опубликовано: 03 дек. 2019
Источник: fstec
CVSS3: 6.5
CVSS2: 7.1
EPSS Низкий

Описание

Уязвимость расширения HelloRetryRequest браузера Firefox связана с ошибкой отправкой пакета, в котором клиент может согласовать протокол более низкого уровня, чем TLS 1.3. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность данных

Вендор

Red Hat Inc.
Canonical Ltd.
Сообщество свободного программного обеспечения
Mozilla Corp.
АО «ИВК»
АО «Концерн ВНИИНС»

Наименование ПО

Red Hat Enterprise Linux
Ubuntu
Debian GNU/Linux
Firefox
Альт 8 СП
ОС ОН «Стрелец»

Версия ПО

7 (Red Hat Enterprise Linux)
16.04 LTS (Ubuntu)
9 (Debian GNU/Linux)
18.04 LTS (Ubuntu)
19.04 (Ubuntu)
8 (Red Hat Enterprise Linux)
8 (Debian GNU/Linux)
19.10 (Ubuntu)
до 72 (Firefox)
- (Альт 8 СП)
до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 7
Canonical Ltd. Ubuntu 16.04 LTS
Сообщество свободного программного обеспечения Debian GNU/Linux 9
Canonical Ltd. Ubuntu 18.04 LTS
Canonical Ltd. Ubuntu 19.04
Red Hat Inc. Red Hat Enterprise Linux 8
Сообщество свободного программного обеспечения Debian GNU/Linux 8
Canonical Ltd. Ubuntu 19.10
АО «ИВК» Альт 8 СП -
АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,1)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Firefox:
Обновление программного обеспечения до 73.0.1-1 или более поздней версии
Для Debian:
Обновление программного обеспечения (пакета firefox) до 73.0.1-1 или более поздней версии
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2019-17023
Для Ubuntu:
https://usn.ubuntu.com/4234-1/
Для ОС ОН «Стрелец»:
Обновление программного обеспечения firefox-esr до версии 91.13.0esr+repack-1~deb10u1.osnova1.strelets
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 75%
0.00899
Низкий

6.5 Medium

CVSS3

7.1 High

CVSS2

Связанные уязвимости

CVSS3: 6.5
ubuntu
почти 6 лет назад

After a HelloRetryRequest has been sent, the client may negotiate a lower protocol that TLS 1.3, resulting in an invalid state transition in the TLS State Machine. If the client gets into this state, incoming Application Data records will be ignored. This vulnerability affects Firefox < 72.

CVSS3: 5.3
redhat
почти 6 лет назад

After a HelloRetryRequest has been sent, the client may negotiate a lower protocol that TLS 1.3, resulting in an invalid state transition in the TLS State Machine. If the client gets into this state, incoming Application Data records will be ignored. This vulnerability affects Firefox < 72.

CVSS3: 6.5
nvd
почти 6 лет назад

After a HelloRetryRequest has been sent, the client may negotiate a lower protocol that TLS 1.3, resulting in an invalid state transition in the TLS State Machine. If the client gets into this state, incoming Application Data records will be ignored. This vulnerability affects Firefox < 72.

CVSS3: 6.5
debian
почти 6 лет назад

After a HelloRetryRequest has been sent, the client may negotiate a lo ...

CVSS3: 6.5
github
больше 3 лет назад

After a HelloRetryRequest has been sent, the client may negotiate a lower protocol that TLS 1.3, resulting in an invalid state transition in the TLS State Machine. If the client gets into this state, incoming Application Data records will be ignored. This vulnerability affects Firefox < 72.

EPSS

Процентиль: 75%
0.00899
Низкий

6.5 Medium

CVSS3

7.1 High

CVSS2