CVE-2014-8639

Опубликовано: 14 янв. 2015

Источник: nvd

CVSS2: 6.8

EPSS Низкий

Уязвимость закрепления сессии в Mozilla Firefox, Thunderbird и SeaMonkey из-за некорректной интерпретации заголовков Set-Cookie

Описание

Уязвимость в Mozilla Firefox (до версии 35.0), Firefox ESR (31.x до 31.4), Thunderbird (до 31.4) и SeaMonkey (до 2.32) связана с некорректной интерпретацией заголовков Set-Cookie в ответах, имеющих статус код 407 (также известный как Proxy Authentication Required). Это позволяет удалённым HTTP прокси-серверам проводить атаки закрепления сессии, предоставляя имя cookie, соответствующее сессионному cookie исходного сервера.

Затронутые версии ПО

Mozilla Firefox до версии 35.0
Mozilla Firefox ESR 31.x до версии 31.4
Mozilla Thunderbird до версии 31.4
Mozilla SeaMonkey до версии 2.32

Тип уязвимости

Закрепление сессии

Дополнительная информация

Подробнее о типе проблемы: CWE-384: Session Fixation

Ссылки

Уязвимые конфигурации

Конфигурация 1

cpe:2.3:a:mozilla:seamonkey:*:*:*:*:*:*:*:*

Версия до 2.31 (включая)

Конфигурация 2

cpe:2.3:a:mozilla:firefox:*:*:*:*:*:*:*:*

Версия до 34.0.5 (включая)

Конфигурация 3

Одно из

cpe:2.3:a:mozilla:firefox:31.0:*:*:*:*:*:*:*

cpe:2.3:a:mozilla:firefox:31.1.0:*:*:*:*:*:*:*

cpe:2.3:a:mozilla:firefox:31.1.1:*:*:*:*:*:*:*

cpe:2.3:a:mozilla:firefox:31.3.0:*:*:*:*:*:*:*

cpe:2.3:a:mozilla:firefox_esr:31.2:*:*:*:*:*:*:*

Конфигурация 4

cpe:2.3:a:mozilla:thunderbird:*:*:*:*:*:*:*:*

Версия до 31.3.0 (включая)

EPSS

Процентиль: 80%

0.01476

Низкий

6.8 Medium

CVSS2

Дефекты

NVD-CWE-Other

Связанные уязвимости

CVE-2014-8639

ubuntu

больше 10 лет назад

Mozilla Firefox before 35.0, Firefox ESR 31.x before 31.4, Thunderbird before 31.4, and SeaMonkey before 2.32 do not properly interpret Set-Cookie headers within responses that have a 407 (aka Proxy Authentication Required) status code, which allows remote HTTP proxy servers to conduct session fixation attacks by providing a cookie name that corresponds to the session cookie of the origin server.