BDU:2021-05706 (CVE-2021-38503) — уязвимость браузера Mozilla Firefox
По данным БДУ ФСТЭК России, по состоянию на 03.04.2024.
Высокий — 8.1/10 Устранена
Уязвимость браузера Mozilla Firefox, связана с ошибками в настройках правил безопасности песочницы iframe к таблицам стилей XSLT. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие ограничения безопасности используя iframe для обхода ограничений, таких как выполнение сценариев или перемещение по фрейму верхнего уровня.
Кого касается и что делать
- Уязвимое ПО: РЕД ОС (ООО «Ред Софт») — версии 7.2 Муром; Firefox (Mozilla) — версии от 80.0 до 93.0; ОСОН ОСнова Оnyx (АО «НППКТ») — версии до 2.4.2; и ещё 1 позиция
- Что делать: уязвимость устранена производителем — применить исправления: repo.red-soft.ru
Сведения об уязвимости
| Идентификаторы | BDU:2021-05706 · CVE-2021-38503 |
| Уровень опасности | Высокий (базовая оценка CVSS 3.1 — 8.1; CVSS 2.0 — 9.4) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, без прав, требуется участие пользователя, высокое влияние на конфиденциальность и целостность |
| Наименование ФСТЭК | Уязвимость браузера Mozilla Firefox, связанная с ошибками в настройках безопасности, позволяющая нарушителю обойти существующие ограничения безопасности |
| Даты | Опубликована: 01.12.2021 · Обновлена ФСТЭК: 03.04.2024 · Выявлена: 02.11.2021 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-254 — элементы безопасности |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: нарушение авторизации |
Уязвимое ПО
- РЕД ОС (ООО «Ред Софт») — 7.2 Муром · операционная система
- Firefox (Mozilla) — от 80.0 до 93.0 · прикладное ПО информационных систем
- ОСОН ОСнова Оnyx (АО «НППКТ») — до 2.4.2 · операционная система
- ОС ОН «Стрелец» (АО «Концерн ВНИИНС») — до 16.01.2023 · операционная система
Возможные меры по устранению уязвимости
Обновление. Использование рекомендаций
- Для Mozilla: Обновление программного обеспечения до актуальной версии
- Для РедОС: repo.red-soft.ru/redos/7.2c/x86_64/updates/
- Для ОСОН Основа: Обновление программного обеспечения thunderbird до версии 1:91.5.0+repack-2~deb10u1.osnova1
- Для ОСОН Основа: Обновление программного обеспечения firefox-esr до версии 91.5.0esr+repack-1~deb10u1.osnova1
- Для ОС ОН «Стрелец»: Обновление программного обеспечения thunderbird до версии 1:91.13.0+repack-1~deb10u1.osnova1.strelets; Обновление программного обеспечения firefox-esr до версии 91.13.0esr+repack-1~deb10u1.osnova1.strelets
