Firefox清静误差危害通告

宣布时间 2020-01-10

误差编号和级别


CVE编号：CVE-2019-17026，危险级别：高危，CVSS分值：官方未评定


影响版本


Firefox 72.0.1和Firefox ESR 68.4.1之前版本


误差概述


Mozilla Firefox和Mozilla Firefox ESR都是美国Mozilla基金会的产品。Mozilla Firefox是一款开源Web浏览器。Mozilla Firefox ESR是Firefox(Web浏览器)的一个延伸支持版本。


Mozilla宣布了Firefox 72.0.1和Firefox ESR 68.4.1，修复已在野外被起劲使用的误差（CVE-2019-17026）。该误差是用于Mozilla的JavaScript引擎SpiderMonkey的JavaScript实时（JIT）编译器IonMonkey中的一个类型混淆误差。凭证Mozilla的建议，JIT编译器中保存缺陷，由于“设置数组元素的又名信息不准确”，特殊是在StureEnthPople和FaliLabSturEngEnter中。潜在攻击者可通过将用户重定向至恶意网页来触发该误差，导致代码执行或触发瓦解。美国CISA也发出忠言称攻击者可能使用此误差来控制受影响的系统，并建议用户审查Mozilla清静转达和应用清静更新。


误差验证


暂无POC/EXP。


修复建议


Mozilla已宣布了Firefox 72.0.1和Firefox ESR 68.4.1。由于此误差已在目的攻击中被使用，建议Firefox用户尽快升级：https://www.mozilla.org/en-US/security/advisories/mfsa2020-03/。


参考链接


https://www.bleepingcomputer.com/news/security/mozilla-firefox-7201-patches-actively-exploited-zero-day/