مرکز آپا دانشگاه کردستان

‌انتشار به‌روزرسانی مهم Mozilla Firefox - آسیب‌پذیری‌های چندگانه در Mozilla Firefox امکان اجرای کد دلخواه را فراهم می‌کند

خلاصه آسیب‌پذیری: آسیب‌پذیری‌های چندگانه در Mozilla Firefox و Firefox Extended Support Release (ESR) کشف شده است که شدیدترین آنها می‌تواند به مهاجم اجازه دهد کد دلخواه را اجرا کند. بهره‌برداری موفق از این آسیب‌پذیری می‌تواند منجر به اجرای کد دلخواه شود. بسته به امتیازات مربوط به برنامه مهاجم می‌تواند برنامه‌ای را نصب کند، به داده‌ها دسترسی داشته باشد، آنها را تغییر دهد یا حذف کند و حتی حساب کاربری جدیدی با امتیازات کامل برای خود ایجاد کند. اگر این برنامه با حقوق کاربری پایین‌تری پیکربندی شده‌باشد بهره‌برداری از این آسیب‌پذیری می‌تواند تاثیر کمتری داشته‌باشد، مگر اینکه با حقوق administrative تنظیم شود. سطح ریسک این آسیب‌پذیری برای سازمان‌های دولتی و خصوصی متوسط و زیاد است. نسخه‌های تحت‌تأثیر: • Mozilla Firefox versions prior to 64 • Mozilla Firefox ESR version prior to 60.4 جزییات: جزییات مربوط به این آسیب‌پذیری‌ها در زیر آمده است. CVE-2018-17466: آسیب‌پذیری‌های buffer overflow و out-of-bounds read در TextureStorage11 در داخل کتابخانه گرافیکی ANGLE که برای محتوای WebGL استفاده می‌شود، وجود دارند که می‌توانند منجر به crash قابل بهره‌برداری شوند. CVE-2018-18493: آسیب‌پذیری buffer overflow در کتابخانه Skia که می‌تواند منجر به crash قابل بهره‌برداری شود. CVE-2018-12407: آسیب‌پذیری buffer overflow هنگام استفاده از ماژول VertexBuffer11 در اعتبارسنجی عناصر در داخل کتابخانه گرافیکی ANGLE که برای محتوای WebGL استفاده می‌شود، وجود دارند که می‌توانند منجر به crash قابل بهره‌برداری شوند. CVE-2018-18498: یک آسیب‌پذیری احتمالی منجر به integer overflow می‌تواند در محاسبات اندازه بافر برای تصاویر زمانی که یک مقدار خام به جای مقدار چک شده استفاده می‌شود، رخ دهد. این آسیب‌پذیری می‌تواند منجر به نوشتن out-of-bounds شود. CVE-2018-18494: این آسیب‌پذیری به سرقت آدرس‌هایcross-origin منجر می‌شود که به دلیل استفاده از ویژگی جاوا اسکریپت برای ایجاد تغییر مسیر به سایت دیگری با استفاده از performance.getEntries() رخ می‌دهد که می‌تواند موجب سرقت اطلاعات شود. CVE-2018-18492: آسیب‌پذیری use-after-free می‌تواند بعد از حذف یک عنصر انتخابی ناشی از یک مرجع ضعیف رخ دهد که منجر به crash قابل بهره‌برداری شوند. CVE-2018-12406: آسیب‌پذیری فساد حافظه که با تغییردادن عمدی محتویات حافظه و به کارگیری آن توسط مهاجم منجر به اجرای کد دلخواه، حمله منع سرویس (DoS) و یا هرگونه رفتار عجیب دیگر توسط برنامه می‌شود. CVE-2018-1240: آسیب‌پذیری فساد حافظه که با تغییردادن عمدی محتویات حافظه و به کارگیری آن توسط مهاجم منجر به اجرای کد دلخواه، حمله منع سرویس (DoS) و یا هرگونه رفتار عجیب دیگر توسط برنامه می‌شود. CVE-2018-18497: این آسیب‌پذیری با دور زدن محدودیت‌های URIها توسط تابع APIیی با نام browser.windows.create در WebExtensions و با بکارگیری یک PIPE در داخل extention عمل می‌کند. مهاجم با بکارگیری یک PIPE می‌تواند چندین صفحه را با استفاده از یک آرگومان بارگذاری کند و این به یک برنامه مخرب WebExtention امکان دسترسی به مجوزهای about: و file: را می‌دهد. مهاجم حتی می‌تواند محتویات این صفحات را تغییر دهد. CVE-2018-18495: در شرایط خاص اسکریپت‌های WebExtention می‌توانند با نقض مجوز اعطا شده امکان دسترسی به محتویات About: را فراهم کند و در نتیجه نهاجم امکان بارگذاری محتویات این صفحه را داشته باشد. CVE-2018-18496: زمانی که RSS Feed پیش نمایش صفحه about:feeds را برای صفحات دیگر نشان می‌دهد می‌تواند یک کد جهت اجرای حملات Clickjacking یا یک بدافزار یا کد مخرب را بارگذاری و در پوشه‌های Temp فایرفاکس اجرا کند. لازم به ذکر است که این آسیب‌پذیری فقط بر روی سیستم عامل ویندوز تاثیر می‌گذارد و سایر سیستم‌عامل‌ها تحت‌تأثیر قرار نمی‌گیرند. توصیه‌ها • به کاربران Mozilla به شدت توصیه می‌شود تا آن را به آخرین نسخه به روزرسانی نمایند. • برای کاهش اثر حملات، تمام نرم‌افزارها را با سطح دسترسی پایین (کاربری غیر از administrative) اجرا کنید. • به کاربران خود یادآوری کنید که از وب‌سایت‌های غیرقابل اعتماد بازدید نکرده و همچنین لینک‌هایی با منبع نامشخص و غیرقابل اعتماد را دنبال نکنند. • اطلاع‌رسانی و آموزش کاربران در مورد خطرات لینک‌ها یا فایل‌های پیوست شده در ایمیل‌ها به ویژه از منابع غیرقابل اعتماد • رعایت اصول حداقل حق دسترسی موردنیاز کاربران (اصل POLP یا Principle of Least Privilege) به سیستم‌ها