2022-0559: Mozilla Firefox ESR: Mehrere Schwachstellen ermöglichen u. a. das Ausführen beliebigen Programmcodes

Historie:

Version 1 (2022-03-11 11:21): Neues Advisory

Betroffene Software

Office

Betroffene Plattformen

Linux
Oracle

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um Informationen auszuspähen, Sicherheitsvorkehrungen zu umgehen, beliebigen Programmcode auszuführen, Denial-of-Service (DoS)-Angriffe durchzuführen und falsche Informationen darzustellen.

Für die Ausnutzung der Schwachstellen sind keine Privilegien erforderlich. Mehrere Schwachstellen erfordern die Interaktion eines Benutzers.

Red Hat und Oracle veröffentlichen Sicherheitsupdates für Firefox auf Basis von Version 91.7.0 ESR für Red Hat Enterprise Linux und Oracle Linux 7 und 8 sowie Red Hat Enterprise Linux 8.2 und 8.4 Extended Update Support.

Zusätzlich zu den für Firefox 91.7.0 ESR als behoben bekannt gegebenen Schwachstellen werden hier zwei Schwachstellen genannt, die mit Firefox ESR 91.6.1 behoben wurden (CVE-2022-26485, CVE-2022-26486). Weiterhin werden im Changelog mehrere kritische Schwachstellen aus Expat als Backports aufgeführt, die Mozilla selbst im Kontext von Firefox ESR noch nicht bestätigt hat (CVE-2022-25235, CVE-2022-25236, CVE-2022-25315).

Schwachstellen:

CVE-2022-25235

Schwachstelle in Expat (libexpat) ermöglicht u. a. Ausführen beliebigen Programmcodes

CVE-2022-25236

Schwachstelle in Expat (libexpat) ermöglicht u. a. Ausführen beliebigen Programmcodes

CVE-2022-25315

Schwachstelle in Expat (libexpat) ermöglicht u. a. Denial-of-Service-Angriff

CVE-2022-26381

Schwachstelle in Mozilla Firefox, Mozilla Firefox ESR und Thunderbird ermöglicht u. a. Denial-of-Service-Angriff

CVE-2022-26383

Schwachstelle in Mozilla Firefox, Mozilla Firefox ESR und Thunderbird ermöglicht Darstellen falscher Informationen

CVE-2022-26384

Schwachstelle in Mozilla Firefox, Mozilla Firefox ESR und Thunderbird ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2022-26386

Schwachstelle in Mozilla Firefox ESR und Thunderbird ermöglicht Ausspähen von Informationen

CVE-2022-26387

Schwachstelle in Mozilla Firefox, Mozilla Firefox ESR und Thunderbird ermöglicht Ausführen beliebigen Programmcodes

CVE-2022-26485

Schwachstelle in Mozilla Firefox, Firefox ESR, Firefox for Android ermöglicht Ausführen beliebigen Programmcodes

CVE-2022-26486