BDU:2022-00294 (CVE-2021-4140) — уязвимость изолированной среды iframe почтового клиента Thunderbird, браузеров Firefox и Firefox ESR

По данным БДУ ФСТЭК России, по состоянию на 13.09.2024.

Уязвимость изолированной среды iframe почтового клиента Thunderbird, браузеров Firefox и Firefox ESR связана с обходом ограничений безопасности при реализации песочницы iframe при обработке XSLT-разметки. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти изолированную программную среду iframe и выполнить произвольный код JavaScript в контексте произвольного окна

Кого касается и что делать

• Уязвимое ПО: Red Hat Enterprise Linux (Red Hat) — версии 7, 8, 8.2 Extended Update Support, 8.1 Update Services for SAP Solutions, 8.4 Extended Update Support; Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 10, 11; РЕД ОС (ООО «Ред Софт») — версии 7.3; и ещё 6 позиций
• Что делать: уязвимость устранена производителем — применить исправления: www.mozilla.org, www.mozilla.org, www.mozilla.org
• Эксплойт: существует в открытом доступе — приоритет обновления внеочередной

Сведения об уязвимости

Уязвимое ПО

• Red Hat Enterprise Linux (Red Hat) — версии 7, 8, 8.2 Extended Update Support, 8.1 Update Services for SAP Solutions, 8.4 Extended Update Support · операционная система · платформа: IA-32
• Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 10, 11 · операционная система
• РЕД ОС (ООО «Ред Софт») — 7.3 · операционная система
• Firefox (Mozilla) — до 96 · прикладное ПО информационных систем
• Firefox ESR (Mozilla) — до 91.5 · прикладное ПО информационных систем
• Thunderbird (Mozilla) — до 91.5 · прикладное ПО информационных систем
• Альт 8 СП (АО «ИВК») — операционная система
• ОСОН ОСнова Оnyx (АО «НППКТ») — до 2.4.2 · операционная система
• ОС ОН «Стрелец» (АО «Концерн ВНИИНС») — до 16.01.2023 · операционная система

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций

• Для программных продуктов Mozilla Corp.: www.mozilla.org/en-US/security/advisories/mfsa2022-02/; www.mozilla.org/en-US/security/advisories/mfsa2022-01/; www.mozilla.org/en-US/security/advisories/mfsa2022-03/
• Для РедОС: repo.red-soft.ru/redos/7.3c/x86_64/updates/
• Для Debian: security-tracker.debian.org/tracker/CVE-2021-4140
• Для программных продуктов Red Hat Inc.: access.redhat.com/security/cve/CVE-2021-4140
• Для ОС Альт 8 СП: Обновление программного обеспечения до актуальной версии
• Для ОСОН Основа: Обновление программного обеспечения firefox-esr до версии 91.5.0esr+repack-1~deb10u1.osnova1
• Для ОСОН Основа: Обновление программного обеспечения thunderbird до версии 1:91.5.0+repack-2~deb10u1.osnova1
• Для ОС ОН «Стрелец»: Обновление программного обеспечения firefox-esr до версии 91.13.0esr+repack-1~deb10u1.osnova1.strelets; Обновление программного обеспечения thunderbird до версии 1:91.13.0+repack-1~deb10u1.osnova1.strelets

Источники

• repo.red-soft.ru/redos/7.3c/x86_64/updates/
• access.redhat.com/security/cve/CVE-2021-4140
• altsp.su/obnovleniya-bezopasnosti/
• security-tracker.debian.org/tracker/CVE-2021-4140
• www.mozilla.org/en-US/security/advisories/mfsa2022-01/
• www.mozilla.org/en-US/security/advisories/mfsa2022-02/
• www.mozilla.org/en-US/security/advisories/mfsa2022-03/
• поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.4.2/
• strelets.net/patchi-i-obnovleniya-bezopasnosti
• поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.5/