Vulnérabilités dans Mozilla

Date de publication :

CVE-2022-1802[Score CVSS v3.1 : 8.8]

Une pollution de prototype dans l'implémentation Top-Level Await permet à un attaquant distant d’exécuter du code arbitraire sur le système avec des privilèges élevés.

CVE-2022-1529[Score CVSS v3.1 : 8.8]

Une pollution de prototype dans l'indexation des objets JavaScript permet à un attaquant distant d’exécuter du code arbitraire sur le système avec des privilèges élevés.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

    Exécution de code arbitraire

    Elévation de privilèges

Criticité

    Score CVSS v3.1: 8.8  

La faille est activement exploitée

    Non, pour l’ensemble des CVE présentées.

Un correctif existe

    Oui, pour l’ensemble des CVE présentées.

Une mesure de contournement existe

    Non, pour l’ensemble des CVE présentées.

La vulnérabilité exploitée est du type

CWE-94: Improper Control of Generation of Code ('Code Injection')

CWE-20: Improper Input Validation

Détails sur l’exploitation

Pour l’ensemble des CVE présentées :

    Vecteur d’attaque : Réseau.

    Complexité de l’attaque : Faible.

    Privilèges nécessaires pour réaliser l’attaque : Aucun.

    Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Oui.

    L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Composants vulnérables

Les produits suivants sont affectés par ces vulnérabilités :

    Mozilla Firefox 100

    Mozilla Firefox ESR 91.9

    Mozilla Firefox for Android 100

    Mozilla Thunderbird 91.9

 

    Solutions ou recommandations

    Mettre à jour les produits affectés aux versions suivantes :

    • Mozilla Firefox 100.0.2
    • Mozilla Firefox ESR 91.9.1
    • Mozilla Firefox for Android 100.3
    • Mozilla Thunderbird 91.9.1

    Liens