CVE-2017-5383

Опубликовано: 11 июн. 2018

Источник: nvd

CVSS3: 5.3

CVSS2: 5

EPSS Низкий

Уязвимость подмены доменного имени посредством некорректного отображения URL в адресной строке Mozilla Firefox, Thunderbird и Firefox ESR

Описание

Некорректная обработка URL, содержащих определенные символы юникода, используемых в качестве альтернативных дефисов и кавычек, не приводит к правильной активации отображения punycode, что позволяет злоумышленнику осуществлять атаки подмены доменного имени в адресной строке.

Затронутые версии ПО

Thunderbird до версии 45.7
Firefox ESR до версии 45.7
Firefox до версии 51

Тип уязвимости

Подмена доменного имени

Ссылки

http://rhn.redhat.com/errata/RHSA-2017-0190.html
Third Party Advisory
http://rhn.redhat.com/errata/RHSA-2017-0238.html
Third Party Advisory
http://www.securityfocus.com/bid/95769
Third Party Advisory
VDB Entry
http://www.securitytracker.com/id/1037693
Third Party Advisory
VDB Entry
https://bugzilla.mozilla.org/show_bug.cgi?id=1323338
Issue Tracking
Vendor Advisory
https://bugzilla.mozilla.org/show_bug.cgi?id=1324716
Issue Tracking
Vendor Advisory
https://security.gentoo.org/glsa/201702-13
Third Party Advisory
https://security.gentoo.org/glsa/201702-22
Third Party Advisory
https://www.debian.org/security/2017/dsa-3771
Third Party Advisory
https://www.debian.org/security/2017/dsa-3832
Third Party Advisory
https://www.mozilla.org/security/advisories/mfsa2017-01/
Vendor Advisory
https://www.mozilla.org/security/advisories/mfsa2017-02/
Vendor Advisory
https://www.mozilla.org/security/advisories/mfsa2017-03/
Vendor Advisory
http://rhn.redhat.com/errata/RHSA-2017-0190.html
Third Party Advisory
http://rhn.redhat.com/errata/RHSA-2017-0238.html
Third Party Advisory
http://www.securityfocus.com/bid/95769
Third Party Advisory
VDB Entry
http://www.securitytracker.com/id/1037693
Third Party Advisory
VDB Entry
https://bugzilla.mozilla.org/show_bug.cgi?id=1323338
Issue Tracking
Vendor Advisory
https://bugzilla.mozilla.org/show_bug.cgi?id=1324716
Issue Tracking
Vendor Advisory
https://security.gentoo.org/glsa/201702-13
Third Party Advisory

Уязвимые конфигурации

Конфигурация 1

cpe:2.3:o:debian:debian_linux:8.0:*:*:*:*:*:*:*

Конфигурация 2

Одно из

cpe:2.3:o:redhat:enterprise_linux:5.0:*:*:*:*:*:*:*

cpe:2.3:o:redhat:enterprise_linux:6.0:*:*:*:*:*:*:*

cpe:2.3:o:redhat:enterprise_linux:7.0:*:*:*:*:*:*:*

cpe:2.3:o:redhat:enterprise_linux_desktop:5.0:*:*:*:*:*:*:*

cpe:2.3:o:redhat:enterprise_linux_desktop:6.0:*:*:*:*:*:*:*

cpe:2.3:o:redhat:enterprise_linux_desktop:7.0:*:*:*:*:*:*:*

cpe:2.3:o:redhat:enterprise_linux_server:5.0:*:*:*:*:*:*:*

cpe:2.3:o:redhat:enterprise_linux_server:6.0:*:*:*:*:*:*:*

cpe:2.3:o:redhat:enterprise_linux_server:7.0:*:*:*:*:*:*:*

cpe:2.3:o:redhat:enterprise_linux_server_aus:7.3:*:*:*:*:*:*:*

cpe:2.3:o:redhat:enterprise_linux_server_aus:7.4:*:*:*:*:*:*:*

cpe:2.3:o:redhat:enterprise_linux_server_eus:7.3:*:*:*:*:*:*:*

cpe:2.3:o:redhat:enterprise_linux_server_eus:7.4:*:*:*:*:*:*:*

cpe:2.3:o:redhat:enterprise_linux_server_eus:7.5:*:*:*:*:*:*:*

cpe:2.3:o:redhat:enterprise_linux_workstation:5.0:*:*:*:*:*:*:*

cpe:2.3:o:redhat:enterprise_linux_workstation:6.0:*:*:*:*:*:*:*

cpe:2.3:o:redhat:enterprise_linux_workstation:7.0:*:*:*:*:*:*:*

Конфигурация 3

cpe:2.3:a:mozilla:thunderbird:*:*:*:*:*:*:*:*

Версия до 45.7.0 (исключая)

Конфигурация 4

cpe:2.3:a:mozilla:firefox:*:*:*:*:*:*:*:*

Версия до 51.0 (исключая)

Конфигурация 5

cpe:2.3:a:mozilla:firefox_esr:*:*:*:*:*:*:*:*

Версия до 45.7.0 (исключая)

EPSS

Процентиль: 85%

0.02444

Низкий

5.3 Medium

CVSS3

5 Medium

CVSS2

Дефекты

CWE-20

Связанные уязвимости

CVE-2017-5383

CVSS3: 5.3

ubuntu

больше 7 лет назад

URLs containing certain unicode glyphs for alternative hyphens and quotes do not properly trigger punycode display, allowing for domain name spoofing attacks in the location bar. This vulnerability affects Thunderbird < 45.7, Firefox ESR < 45.7, and Firefox < 51.

CVE-2017-5383

CVSS3: 6.1

redhat

почти 9 лет назад

CVE-2017-5383

CVSS3: 5.3

debian

больше 7 лет назад

URLs containing certain unicode glyphs for alternative hyphens and quo ...

GHSA-qr6h-8c8f-v3mw

CVSS3: 5.3

github

больше 3 лет назад

ELSA-2017-0238

oracle-oval

почти 9 лет назад

ELSA-2017-0238: thunderbird security update (IMPORTANT)

EPSS

Процентиль: 85%

0.02444

Низкий

5.3 Medium

CVSS3

5 Medium

CVSS2

Дефекты

CWE-20