Vulnérabilité dans McAfee WebAdvisor

Date de publication :

Une vulnérabilité de type XSS (“cross-site scripting”) a été découverte dans McAfee WebAdvisor, une extension pour Mozilla Firefox et Google Chrome affichant des notifications lorsque l’utilisateur se rend sur un site dangereux. Un attaquant distant exploitant cette vulnérabilité peut exécuter du code arbitraire sur le navigateur de la victime.

CVE-2019-3670 [Score CVSS v3 : 8.0] : Une vulnérabilité de type XSS a été découverte dans McAfee WebAdvisor. En effet, l’extension ne gère pas certains scripts de manière sécurisée, permettant à un attaquant d’y injecter son propre code afin d’exécuter des opérations arbitraires, pouvant mener à une obtention de privilèges administrateurs en cas d’exploitation d’une autre faille.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Exécution de code arbitraire
  • Obtention de privilèges administrateur (dans des cas exceptionnels)

Criticité

  • Score CVSS v3 : 8.0

Existence d’un code d’exploitation

  • Pas de code d’exploitation disponible publiquement pour l’instant

Composants vulnérables

  • Extension WebAdvisor Chrome jusqu’à la version 8.0.34745 incluse
  • Extension WebAdvisor Firefox jusqu’à la version 8.0.0.34239 incluse

CVE

  • CVE-2019-3670

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Mettre à jour l’extension WebAdvisor vers une version non vulnérable:
    • 8.0.0.37123 si utilisant Google Chrome
    • 8.0.0.37627 si utilisant Mozilla Firefox

Solution de contournement

  • Aucune solution de contournement n’est disponible, la désactivation de l’extension pouvant cependant être envisagée

Liens