Уязвимость обхода защитных механизмов файловых расширений в Firefox и Thunderbird на Windows из-за использования символа новой строки в имени файла
Описание
Символ новой строки в имени файла используется для обхода механизмов безопасности файловых расширений, которые заменяют вредоносные расширения файлов, такие как .lnk, на .download. Это приводит к случайному выполнению вредоносного кода.
Данная уязвимость затрагивает только Firefox и Thunderbird на Windows. Другие версии Firefox и Thunderbird не подвержены этой уязвимости.
Затронутые версии ПО
- Firefox < 112
- Firefox ESR < 102.10
- Thunderbird < 102.10
Тип уязвимости
- Обход механизмов безопасности
- Выполнение вредоносного кода
Ссылки
- Permissions Required
- Permissions Required
- Vendor Advisory
- Vendor Advisory
- Vendor Advisory
- Permissions Required
- Permissions Required
- Vendor Advisory
- Vendor Advisory
- Vendor Advisory
Уязвимые конфигурации
Одновременно
Одно из
EPSS
9.8 Critical
CVSS3
Дефекты
Связанные уязвимости
A newline in a filename could have been used to bypass the file extension security mechanisms that replace malicious file extensions such as .lnk with .download. This could have led to accidental execution of malicious code. *This bug only affects Firefox and Thunderbird on Windows. Other versions of Firefox and Thunderbird are unaffected.* This vulnerability affects Firefox < 112, Firefox ESR < 102.10, and Thunderbird < 102.10.
A newline in a filename could have been used to bypass the file extension security mechanisms that replace malicious file extensions such as .lnk with .download. This could have led to accidental execution of malicious code. *This bug only affects Firefox and Thunderbird on Windows. Other versions of Firefox and Thunderbird are unaffected.* This vulnerability affects Firefox < 112, Firefox ESR < 102.10, and Thunderbird < 102.10.
A newline in a filename could have been used to bypass the file extens ...
A newline in a filename could have been used to bypass the file extension security mechanisms that replace malicious file extensions such as .lnk with .download. This could have led to accidental execution of malicious code. *This bug only affects Firefox and Thunderbird on Windows. Other versions of Firefox and Thunderbird are unaffected.* This vulnerability affects Firefox < 112, Firefox ESR < 102.10, and Thunderbird < 102.10.
Уязвимость браузеров Mozilla Firefox, Focus for Android, Mozilla Firefox ESR и почтового клиента Thunderbird, связанная с некорректной обработкой новой строки в имени файла, позволяющая нарушителю обойти ограничения безопасности и выполнить произвольный код
EPSS
9.8 Critical
CVSS3