Уязвимость спуфинга в Mozilla Firefox из-за некорректной ассоциации всплывающего окна с протоколами
Описание
Когда пользователь кликает по ссылке на внешний протокол, отображается всплывающее окно, которое позволяет выбрать приложение для открытия этой ссылки. Злоумышленник может заставить это всплывающее окно ассоциироваться с неправильным происхождением, что приводит к подмене (спуфингу). Эта проблема была решена путём изменения окна запроса для внешних протоколов на таб-ориентированный модальный формат (tab-modal) и обеспечения их корректной привязки только к соответствующему источнику.
Затронутые версии ПО
- Firefox до версии 82
Тип уязвимости
Спуфинг
Ссылки
- Issue TrackingPermissions RequiredVendor Advisory
- Release NotesVendor Advisory
- Issue TrackingPermissions RequiredVendor Advisory
- Release NotesVendor Advisory
Уязвимые конфигурации
EPSS
6.5 Medium
CVSS3
4.3 Medium
CVSS2
Дефекты
Связанные уязвимости
When a link to an external protocol was clicked, a prompt was presented that allowed the user to choose what application to open it in. An attacker could induce that prompt to be associated with an origin they didn't control, resulting in a spoofing attack. This was fixed by changing external protocol prompts to be tab-modal while also ensuring they could not be incorrectly associated with a different origin. This vulnerability affects Firefox < 82.
When a link to an external protocol was clicked, a prompt was presente ...
When a link to an external protocol was clicked, a prompt was presented that allowed the user to choose what application to open it in. An attacker could induce that prompt to be associated with an origin they didn't control, resulting in a spoofing attack. This was fixed by changing external protocol prompts to be tab-modal while also ensuring they could not be incorrectly associated with a different origin. This vulnerability affects Firefox < 82.
Уязвимость браузера Mozilla Firefox, связанная с недостатком в механизме подтверждения источника данных, позволяющая нарушителю проводить спуфинг-атаки
ALT-PU-2020-3120: package `firefox` update to version 82.0-alt1
EPSS
6.5 Medium
CVSS3
4.3 Medium
CVSS2