Varias vulnerabilidades en Mozilla Firefox podrían permitir la ejecución arbitraria de código

NÚMERO DE ASESORÍA DE MS-ISAC:

2021-101

FECHA (S) DE EMISIÓN:

10/08/2021

VISIÓN DE CONJUNTO:

Se han descubierto varias vulnerabilidades en Mozilla Firefox y Firefox Extended Support Release (ESR), la más grave de las cuales podría permitir la ejecución de código arbitrario. Mozilla Firefox es un navegador web que se utiliza para acceder a Internet. Mozilla Firefox ESR es una versión del navegador web destinada a implementarse en grandes organizaciones. La explotación exitosa de estas vulnerabilidades podría permitir la ejecución de código arbitrario. Dependiendo de los privilegios asociados con el usuario, un atacante podría instalar programas; ver, cambiar o eliminar datos; o cree nuevas cuentas con todos los derechos de usuario. Los usuarios cuyas cuentas están configuradas para tener menos derechos de usuario en el sistema podrían verse menos afectados que aquellos que operan con derechos de usuario administrativos.

INTELIGENCIA DE AMENAZAS:

Actualmente no hay informes de que estas vulnerabilidades se exploten en la naturaleza.

SISTEMAS AFECTADOS:

  • Versiones de Mozilla Firefox anteriores a la 91
  • Versiones de Firefox ESR anteriores a 78.13

RIESGO:

Gobierno:
  • Entidades gubernamentales grandes y medianas: ALTA
  • Pequeñas entidades gubernamentales: ALTA
Negocios:
  • Empresas grandes y medianas: ALTA
  • Entidades de pequeñas empresas: ALTO
Usuarios domésticos:

BAJO

RESUMEN TÉCNICO:

Se han descubierto varias vulnerabilidades en Mozilla Firefox y Firefox Extended Support Release (ESR), la más grave de las cuales podría permitir la ejecución de código arbitrario. Los detalles de estas vulnerabilidades son los siguientes:

  • Una supuesta condición de carrera al llamar a getaddrinfo provocó daños en la memoria y un bloqueo potencialmente explotable (CVE-2021-29986) Nota: Este problema solo afectó a los sistemas operativos Linux. Otros sistemas operativos no se ven afectados.
  • Un problema presente en la reducción / asignación de registros podría haber dado lugar a fallas de confusión de registros oscuros pero deterministas en el código JIT que conduciría a un bloqueo potencialmente explotable (CVE-2021-29981).
  • Firefox trató incorrectamente un elemento de lista en línea como un elemento de bloque, lo que resultó en una lectura fuera de los límites o corrupción de memoria, y un bloqueo potencialmente explotable (CVE-2021-29988).
  • Firefox para Android podría quedarse atascado en el modo de pantalla completa y no salir de él incluso después de interacciones normales que deberían hacer que se cierre (CVE-2021-29983) Nota: Este problema solo afectó a Firefox para Android. Otros sistemas operativos no se ven afectados.
  • El reordenamiento de instrucciones dio como resultado una secuencia de instrucciones que provocaría que un objeto se considerara incorrectamente durante la recolección de basura. Esto provocó daños en la memoria y un bloqueo potencialmente explotable (CVE-2021-29984).
  • La memoria no inicializada en un objeto de lienzo podría haber causado un free () incorrecto que provocó daños en la memoria y un bloqueo potencialmente explotable (CVE-2021-29980).
  • Después de solicitar múltiples permisos y cerrar el primer panel de permisos, los paneles de permisos subsiguientes se mostrarán en una posición diferente pero aún registrarán un clic en la ubicación predeterminada, lo que permitirá engañar a un usuario para que acepte un permiso que no deseaba (CVE -2021-29987) Este error solo afecta a Firefox en Linux. Otros sistemas operativos no se ven afectados.
  • Una vulnerabilidad de uso después de la liberación en los canales de medios podría haber provocado la corrupción de la memoria y un bloqueo potencialmente explotable (CVE-2021-29985).
  • Debido a una optimización JIT incorrecta, interpretamos incorrectamente los datos del tipo de objeto incorrecto, lo que resultó en la posible pérdida de un solo bit de memoria (CVE-2021-29982).
  • Los errores de seguridad de la memoria están presentes en Firefox 90 y Firefox ESR 78.12. Algunos de estos errores mostraron evidencia de corrupción de la memoria y se presume que con suficiente esfuerzo algunos de ellos podrían haber sido explotados para ejecutar código arbitrario (CVE-2021-29989).
  • Los errores de seguridad de la memoria están presentes en Firefox 90. Algunos de estos errores mostraron evidencia de corrupción de la memoria y se presume que con suficiente esfuerzo algunos de ellos podrían haber sido explotados para ejecutar código arbitrario (CVE-2021-29990).

La explotación exitosa de estas vulnerabilidades podría permitir la ejecución de código arbitrario. Dependiendo de los privilegios asociados con el usuario, un atacante podría instalar programas; ver, cambiar o eliminar datos; o cree nuevas cuentas con todos los derechos de usuario. Los usuarios cuyas cuentas están configuradas para tener menos derechos de usuario en el sistema podrían verse menos afectados que aquellos que operan con derechos de usuario administrativos.

RECOMENDACIONES:

Recomendamos que se tomen las siguientes acciones:

  • Aplique las actualizaciones apropiadas proporcionadas por Mozilla a los sistemas vulnerables inmediatamente después de las pruebas adecuadas.
  • Ejecute todo el software como un usuario sin privilegios (uno sin privilegios administrativos) para disminuir los efectos de un ataque exitoso.
  • Recuerde a los usuarios que no deben visitar sitios web que no sean de confianza ni seguir enlaces proporcionados por fuentes desconocidas o no confiables.
  • Informar y educar a los usuarios sobre las amenazas que plantean los enlaces de hipertexto contenidos en correos electrónicos o archivos adjuntos, especialmente de fuentes no confiables.
  • Aplicar el principio de privilegio mínimo a todos los sistemas y servicios.

REFERENCIAS:

Mozilla:
CVE:

fuente: cisecurity.org