Vulnérabilités dans les produits Mozilla

Date de publication :

De multiples vulnérabilités ont été découvertes dans les produits édités par Mozilla (Firefox et Thunderbird). Un attaquant distant exploitant ces vulnérabilités peut causer un déni de service, échapper à des restrictions de “sandbox”, ainsi qu’exécuter du code arbitraire.

CVE-2020-6831 [Score CVSS v3 : en cours de calcul] : Une vulnérabilité de type débordement de tampon a été découverte dans SCTP. Un attaquant distant peut corrompre la mémoire du programme et ainsi mener à un déni de service (plantage du programme) et potentiellement une exécution de code arbitraire.

CVE-2020-12387 [Score CVSS v3 : en cours de calcul] : Une vulnérabilité de type “use-after-free” a été découverte dans Firefox, Firefox ESR et Thunderbird. Un attaquant distant exploitant cette vulnérabilité peut causer un déni de service (plantage du programme) ainsi que potentiellement exécuter du code arbitraire.

CVE-2020-12388, CVE-2020-12389 [Score CVSS v3 : en cours de calcul] : Une vulnérabilité liée à une mauvaise gestion de contrôles d’accès a été découverte dans Firefox et Firefox ESR. Un attaquant distant exploitant cette vulnérabilité peut échapper aux restrictions de la “sandbox” exécutant le programme.

CVE-2020-12395 [Score CVSS v3 : en cours de calcul] : Une vulnérabilité liée à des bogues de protection de la mémoire a été découverte dans Firefox, Firefox ESR et Thunderbird. Un attaquant distant exploitant cette vulnérabilité peut causer une corruption de la mémoire du programme, menant à un déni de service (plantage du programme) ainsi qu’à une potentielle exécution de code arbitraire.

CVE-2020-12396 [Score CVSS v3 : en cours de calcul] : Une vulnérabilité liée à des bogues de protection de la mémoire a été découverte dans Firefox. Un attaquant distant exploitant cette vulnérabilité peut causer une corruption de la mémoire du programme, menant à un déni de service (plantage du programme) ainsi qu’à une potentielle exécution de code arbitraire.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Déni de service
  • Corruption de mémoire
  • Evasion de “sandbox”
  • Exécution de code arbitraire

Criticité

  • Score CVSS v3 : en cours de calcul

Existence d’un code d’exploitation

  • Aucun code d’exploitation n’est disponible publiquement à ce jour

Composants vulnérables

  • Firefox avant la version 76
  • Firefox ESR avant la version 68.8
  • Thunderbird avant la version 68.8.0

CVE

  • CVE-2020-6831
  • CVE-2020-12387
  • CVE-2020-12388
  • CVE-2020-12389
  • CVE-2020-12395
  • CVE-2020-12396

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Mettre à jour le logiciel concerné vers une version non-vulnérable (voir la section “Composants vulnérables”)

Solution de contournement

  • Aucune solution de contournement n’est disponible

Liens