Multiples vulnérabilités identifiées dans Mozilla Firefox

De multiples vulnérabilités ont été découvertes dans Mozilla Firefox. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, une exécution de code arbitraire et un déni de service à distance.

CVE-2019-11751 : [Score CVSSv3 7.7]

Un attaquant pourrait faire exécuter du code arbitraire en exploitant une vulnérabilité dans les paramètres de journalisation

Les paramètres de journalisation en ligne de commande (parametersReporter) ne sont pas correctement nettoyés lorsque Firefox est lancé par un autre programme, par exemple lorsqu'un utilisateur clique sur un lien malveillant dans une application de messagerie instantanée. Cette vulnérabilité pourrait être utilisée pour écrire un fichier journal à un emplacement arbitraire tel que le dossier 'Démarrage' de Windows, permettant ainsi une potentielle exécution de code au démarrage de la machine.

Il est à noter que seules les versions de Firefox pour les systèmes d'exploitation Windows sont affectées par cette vulnérabilité.

CVE-2019-11746 :[Score CVSSv3 7.7]

Une vulnérabilité « use-after-free » (utilisation après désallocation mémoire) a été découverte lors de la manipulation de vidéo dans Firefox.

Une vulnérabilité « use-after-free » (utilisation après désallocation mémoire) peut survenir lors de la manipulation d'éléments vidéo si le corps (« body ») est libéré alors qu'il est encore en cours d'utilisation. Il en résulte un crash du navigateur potentiellement exploitable.

CVE-2019-11753 : [Score CVSSv3 6.8]

Une vulnérabilité permettant une élévation de privilèges a été découverte dans le service de maintenance Mozilla si Firefox est installé dans un emplacement personnalisé.

Le programme d'installation de Firefox permet à Firefox d'être installé à un emplacement personnalisable (il nécessite seulement que l’emplacement soit accessible en écriture par l'utilisateur). Cet emplacement est potentiellement sans protection contre la manipulation par des utilisateurs non privilégiés ou des logiciels malveillants. Or le service de maintenant fonctionne avec des privilèges élevés. Dès lors, un attaquant pourrait altérer le binaire du service de maintenance afin d’élever ses privilèges. Cette attaque est possible à cause d’un manque de contrôle d'intégrité du service de maintenance

Il est à noter que seules les versions de Firefox pour les systèmes d'exploitation Windows sont affectées par cette vulnérabilité. Les versions pour les autres systèmes d’exploitation ne sont pas affectées.

CVE-2019-11744 : [Score CVSSv3 5.3]

Une vulnérabilité de type XSS a été découverte dans le navigateur Mozilla Firefox, elle exploite une mauvaise analyse de la méthode innerHTML pour certains caractères spéciaux.

La méthode innerHTML transforme certains caractères spéciaux en caractère HTML. Par exemple, pour les caractères "&", "<" , ou ">", innerHTML renverra à la place les chaînes suivantes : "&amp;", "&lt;" et "&gt;".

Certains éléments HTML, tels que <title> et <textarea>, peuvent contenir des chevrons mathématiques (caractères Unicode: U+27E8 et U+27E9) sans les traiter comme des chevrons « classiques » (caractères Unicode  U+003C et U+003E). Il est possible de passer un chevron mathématique fermant à la méthode .innerHTML qui traitera la suite des caractères comme en dehors de la balise. Cela peut conduire à XSS si un site ne filtre pas suffisamment les entrées des utilisateurs, notamment pour ces caractères spéciaux.