CVE-2014-1480

Опубликовано: 06 фев. 2014

Источник: nvd

CVSS2: 4.3

EPSS Низкий

Уязвимость clickjacking через некорректное ограничение времени выбора кнопок в реализации загрузки файлов в Mozilla Firefox и SeaMonkey

Описание

Некорректное ограничение времени выбора кнопок в реализации загрузки файлов в Mozilla Firefox и SeaMonkey позволяет злоумышленникам совершать атаки типа clickjacking. Это может привести к непреднамеренному запуску загруженного файла через специально созданный веб-сайт.

Затронутые версии ПО

Mozilla Firefox версии до 27.0
SeaMonkey версии до 2.24

Тип уязвимости

Clickjacking

Ссылки

http://lists.opensuse.org/opensuse-security-announce/2014-02/msg00004.html
Mailing List
Third Party Advisory
http://lists.opensuse.org/opensuse-security-announce/2014-02/msg00010.html
Mailing List
Third Party Advisory
http://lists.opensuse.org/opensuse-security-announce/2014-03/msg00017.html
Mailing List
Third Party Advisory
http://osvdb.org/102867
Broken Link
http://secunia.com/advisories/56888
Broken Link
http://www.mozilla.org/security/announce/2014/mfsa2014-03.html
Vendor Advisory
http://www.oracle.com/technetwork/topics/security/bulletinapr2016-2952098.html
Third Party Advisory
http://www.securityfocus.com/bid/65331
Third Party Advisory
VDB Entry
http://www.securitytracker.com/id/1029717
Third Party Advisory
VDB Entry
http://www.securitytracker.com/id/1029720
Third Party Advisory
VDB Entry
http://www.ubuntu.com/usn/USN-2102-1
Third Party Advisory
http://www.ubuntu.com/usn/USN-2102-2
Third Party Advisory
https://bugzilla.mozilla.org/show_bug.cgi?id=916726
Issue Tracking
Vendor Advisory
https://exchange.xforce.ibmcloud.com/vulnerabilities/90897
Third Party Advisory
VDB Entry
https://security.gentoo.org/glsa/201504-01
Third Party Advisory
http://lists.opensuse.org/opensuse-security-announce/2014-02/msg00004.html
Mailing List
Third Party Advisory
http://lists.opensuse.org/opensuse-security-announce/2014-02/msg00010.html
Mailing List
Third Party Advisory
http://lists.opensuse.org/opensuse-security-announce/2014-03/msg00017.html
Mailing List
Third Party Advisory
http://osvdb.org/102867
Broken Link
http://secunia.com/advisories/56888
Broken Link

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:o:opensuse:opensuse:11.4:*:*:*:*:*:*:*

cpe:2.3:o:opensuse:opensuse:12.3:*:*:*:*:*:*:*

cpe:2.3:o:opensuse:opensuse:13.1:*:*:*:*:*:*:*

cpe:2.3:o:suse:linux_enterprise_desktop:11:sp3:*:*:*:*:*:*

cpe:2.3:o:suse:linux_enterprise_server:11:sp3:*:*:*:-:*:*

cpe:2.3:o:suse:linux_enterprise_server:11:sp3:*:*:*:vmware:*:*

cpe:2.3:o:suse:linux_enterprise_software_development_kit:11:sp3:*:*:*:*:*:*

Конфигурация 2

cpe:2.3:o:oracle:solaris:11.3:*:*:*:*:*:*:*

Конфигурация 3

Одно из

cpe:2.3:o:canonical:ubuntu_linux:12.04:*:*:*:esm:*:*:*

cpe:2.3:o:canonical:ubuntu_linux:12.10:*:*:*:*:*:*:*

cpe:2.3:o:canonical:ubuntu_linux:13.10:*:*:*:*:*:*:*

Конфигурация 4

Одно из

cpe:2.3:a:mozilla:firefox:*:*:*:*:*:*:*:*

Версия до 27.0 (исключая)

cpe:2.3:a:mozilla:seamonkey:*:*:*:*:*:*:*:*

Версия до 2.24 (исключая)

EPSS

Процентиль: 66%

0.0052

Низкий

4.3 Medium

CVSS2

Дефекты

CWE-1021

Связанные уязвимости

CVE-2014-1480

ubuntu

больше 11 лет назад

The file-download implementation in Mozilla Firefox before 27.0 and SeaMonkey before 2.24 does not properly restrict the timing of button selections, which allows remote attackers to conduct clickjacking attacks, and trigger unintended launching of a downloaded file, via a crafted web site.