一、漏洞概述
|
漏洞名稱 |
Firefox越界寫入漏洞 |
||
|
CVE ID |
CVE-2024-29943 |
||
|
漏洞類型 |
越界讀/寫 |
發現時間 |
2024-03-25 |
|
漏洞評分 |
9.8 |
漏洞等級 |
嚴重 |
|
攻擊向量 |
網路 |
所需許可權 |
無 |
|
利用難度 |
低 |
使用者互動 |
無 |
|
PoC/EXP |
未公開 |
在野利用 |
已發現 |
Mozilla Firefox是一個由Mozilla開發的開放源程式碼的網頁瀏覽器，支持桌面版（Windows、Mac及Linux平臺）、Android 版、iOS版等多種版本。
2024年3月25日，啟明星辰VSRC監測到Firefox中修復了一個越界寫入漏洞（CVE-2024-29943），目前該漏洞已發現被利用。
Firefox 124.0.1之前版本中，由於基於範圍的邊界檢查消除過程中存在問題，威脅者可通過繞過預期安全檢查的方式操縱 JavaScript 對象執行越界讀取或寫入，成功利用可能導致遠端程式碼執行。
此外，Firefox 124.0.1之前版本和Firefox ESR 115.9.1之前版本（桌面版）中還修復了一個程式碼執行漏洞（CVE-2024-29944），威脅者可將事件處理程序注入特權對象，從而可能導致在父進程中執行任意 JavaScript。
二、影響範圍
CVE-2024-29943
Firefox 124.0.1
CVE-2024-29944
Firefox 124.0.1
Firefox ESR 115.9.1
注：CVE-2024-29944僅影響桌面版Firefox，不影響移動版Firefox。
三、安全措施
3.1升級版本
目前這些漏洞已經修復，受影響使用者可升級到Firefox 124.0.1、Firefox ESR 115.9.1或更高版本。Firefox使用者可在Firefox瀏覽器中通過【打開應用程序菜單】-【幫助】-【關於Mozilla Firefox】檢查版本更新，並在更新完成後重新啟動。
下載連結：
https://www.firefox.com.cn/
3.2臨時措施
暫無。
3.3通用建議
定期更新系統補丁，減少系統漏洞，提升伺服器的安全性。
加強系統和網路的訪問控制，修改防火牆策略，關閉非必要的應用埠或服務，減少將危險服務（如SSH、RDP等）暴露到公網，減少攻擊面。
使用企業級安全產品，提升企業的網路安全性能。
加強系統使用者和許可權管理，啟用多因素認證機制和最小許可權原則，使用者和軟體許可權應保持在最低限度。
啟用強密碼策略並設置為定期修改。
3.4參考連結
https://www.mozilla.org/en-US/security/advisories/mfsa2024-15/
https://www.bleepingcomputer.com/news/security/mozilla-fixes-two-firefox-zero-day-bugs-exploited-at-pwn2own/