Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

nvd логотип

CVE-2021-23985

Опубликовано: 31 мар. 2021
Источник: nvd
CVSS3: 6.5
CVSS2: 4.3
EPSS Низкий

Уязвимость активации удалённой отладки Devtools в Mozilla Firefox, позволяющая отслеживать сетевой трафик пользователя

Описание

Злоумышленник способен изменить некоторые значения about:config (например, посредством вредоносного ПО на компьютере пользователя), что активирует функцию удалённой отладки Devtools без ведома пользователя. Это позволяет удалённому злоумышленнику, который может установить прямое сетевое соединение с жертвой, отслеживать активность пользователя в браузере и незащищенный сетевой трафик.

Для устранения уязвимости был добавлен визуальный индикатор, сигнализирующий об открытом сетевом сокете Devtools.

Затронутые версии ПО

  • Firefox версии ниже 87

Тип уязвимости

Отслеживание активности пользователя

Уязвимые конфигурации

Конфигурация 1
cpe:2.3:a:mozilla:firefox:*:*:*:*:*:*:*:*
Версия до 87.0 (исключая)

EPSS

Процентиль: 66%
0.0051
Низкий

6.5 Medium

CVSS3

4.3 Medium

CVSS2

Дефекты

NVD-CWE-Other

Связанные уязвимости

CVSS3: 6.5
ubuntu
почти 5 лет назад

If an attacker is able to alter specific about:config values (for example malware running on the user's computer), the Devtools remote debugging feature could have been enabled in a way that was unnoticable to the user. This would have allowed a remote attacker (able to make a direct network connection to the victim) to monitor the user's browsing activity and (plaintext) network traffic. This was addressed by providing a visual cue when Devtools has an open network socket. This vulnerability affects Firefox < 87.

CVSS3: 6.5
debian
почти 5 лет назад

If an attacker is able to alter specific about:config values (for exam ...

CVSS3: 6.5
github
больше 3 лет назад

If an attacker is able to alter specific about:config values (for example malware running on the user's computer), the Devtools remote debugging feature could have been enabled in a way that was unnoticable to the user. This would have allowed a remote attacker (able to make a direct network connection to the victim) to monitor the user's browsing activity and (plaintext) network traffic. This was addressed by providing a visual cue when Devtools has an open network socket. This vulnerability affects Firefox < 87.

EPSS

Процентиль: 66%
0.0051
Низкий

6.5 Medium

CVSS3

4.3 Medium

CVSS2

Дефекты

NVD-CWE-Other