Firefox清静误差危害通告

宣布时间 2020-01-10

误差编号和级别


CVE编号：CVE-2019-17026，危险级别：高危，CVSS分值：官方未评定


影响版本


Firefox 72.0.1和Firefox ESR 68.4.1之前版本


误差概述


Mozilla Firefox和Mozilla Firefox ESR都是美国Mozilla基金会的产品 。Mozilla Firefox是一款开源Web浏览器 。Mozilla Firefox ESR是Firefox(Web浏览器)的一个延伸支持版本 。


Mozilla宣布了Firefox 72.0.1和Firefox ESR 68.4.1，修复已在野外被起劲使用的误差（CVE-2019-17026） 。该误差是用于Mozilla的JavaScript引擎SpiderMonkey的JavaScript实时（JIT）编译器IonMonkey中的一个类型混淆误差 。凭证Mozilla的建议，JIT编译器中保存缺陷，由于“设置数组元素的又名信息不准确”，特殊是在StureEnthPople和FaliLabSturEngEnter中 。潜在攻击者可通过将用户重定向至恶意网页来触发该误差，导致代码执行或触发瓦解 。美国CISA也发出忠言称攻击者可能使用此误差来控制受影响的系统，并建议用户审查Mozilla清静转达和应用清静更新 。


误差验证


暂无POC/EXP 。


修复建议


Mozilla已宣布了Firefox 72.0.1和Firefox ESR 68.4.1 。由于此误差已在目的攻击中被使用，建议Firefox用户尽快升级：https://www.mozilla.org/en-US/security/advisories/mfsa2020-03/ 。


参考链接


https://www.bleepingcomputer.com/news/security/mozilla-firefox-7201-patches-actively-exploited-zero-day/