Уязвимость некорректной обработки загрузок файлов с расширением .desktop в Firefox для Linux, позволяющая выполнить команды, контролируемые злоумышленником
Описание
Firefox некорректно обрабатывает загрузку файлов с расширением .desktop, которые могут быть интерпретированы для выполнения команд, контролируемых злоумышленником.
Эта ошибка влияет только на Firefox для Linux в определённых дистрибутивах. Другие операционные системы не затронуты. Mozilla не может перечислить все затронутые дистрибутивы Linux.
Затронутые версии ПО
- Firefox < 112
- Focus для Android < 112
- Firefox ESR < 102.10
- Firefox для Android < 112
- Thunderbird < 102.10
Тип уязвимости
Выполнение произвольных команд
Ссылки
- Issue TrackingPermissions RequiredVendor Advisory
- Vendor Advisory
- Vendor Advisory
- Vendor Advisory
- Issue TrackingPermissions RequiredVendor Advisory
- Vendor Advisory
- Vendor Advisory
- Vendor Advisory
Уязвимые конфигурации
Одно из
EPSS
8.8 High
CVSS3
Дефекты
Связанные уязвимости
Firefox did not properly handle downloads of files ending in <code>.desktop</code>, which can be interpreted to run attacker-controlled commands. <br>*This bug only affects Firefox for Linux on certain Distributions. Other operating systems are unaffected, and Mozilla is unable to enumerate all affected Linux Distributions.*. This vulnerability affects Firefox < 112, Focus for Android < 112, Firefox ESR < 102.10, Firefox for Android < 112, and Thunderbird < 102.10.
Firefox did not properly handle downloads of files ending in <code>.desktop</code>, which can be interpreted to run attacker-controlled commands. <br>*This bug only affects Firefox for Linux on certain Distributions. Other operating systems are unaffected, and Mozilla is unable to enumerate all affected Linux Distributions.*. This vulnerability affects Firefox < 112, Focus for Android < 112, Firefox ESR < 102.10, Firefox for Android < 112, and Thunderbird < 102.10.
Firefox did not properly handle downloads of files ending in <code>.de ...
Firefox did not properly handle downloads of files ending in <code>.desktop</code>, which can be interpreted to run attacker-controlled commands. <br>*This bug only affects Firefox for Linux on certain Distributions. Other operating systems are unaffected, and Mozilla is unable to enumerate all affected Linux Distributions.*. This vulnerability affects Firefox < 112, Focus for Android < 112, Firefox ESR < 102.10, Firefox for Android < 112, and Thunderbird < 102.10.
Уязвимость браузеров Mozilla Firefox, Focus for Android, Mozilla Firefox ESR и почтового клиента Thunderbird, связанная с некорректной обработкой имен файлов, оканчивающихся на .desktop, позволяющая нарушителю обойти ограничения безопасности и выполнить произвольные команды
EPSS
8.8 High
CVSS3