Mozilla publikuje nowe aktualizacje swoich produktów. (P25-194)

cert.pse-online.pl 1 dzień temu

Produkt	Firefox ESR – wersje wcześniejsze niż 128.12 Firefox ESR – wersje wcześniejsze niż 115.25 Firefox – wersje wcześniejsze niż 140
Numer CVE	CVE-2025-6424
Krytyczność	5.9/10
CVSS	AV:N/AC:L/AT:N/PR:L/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:U/U:Amber
Opis	Luka istnieje z powodu błędu „use-after-free” w FontFaceSet. Zdalny atakujący może oszukać ofiarę, aby otworzyła specjalnie spreparowaną witrynę i wykonała dowolny kod w systemie.

Numer CVE	CVE-2025-6425
Krytyczność	1.2/10
CVSS	AV:N/AC:L/AT:N/PR:N/UI:A/VC:L/VI:N/VA:N/SC:L/SI:N/SA:N/E:U/U:Green
Opis	Luka występuje, ponieważ rozszerzenie WebCompat dostarczane z przeglądarką Firefox umożliwia wyliczanie zasobów i uzyskiwanie trwałego identyfikatora UUID, który identyfikuje przeglądarkę i jest zachowywany między kontenerami a trybem przeglądania normalnego/prywatnego, ale nie między profilami.

Numer CVE	CVE-2025-6426
Krytyczność	4.8/10
CVSS	AV:N/AC:H/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:U/U:Amber
Opis	Luka występuje, ponieważ rozszerzenie terminala nie wyświetla ostrzeżenia podczas otwierania pliku wykonywalnego terminala w systemie macOS. Zdalny atakujący może oszukać ofiarę, aby wykonała plik wykonywalny i naraziła na atakowany system.

Numer CVE	CVE-2025-6427
Krytyczność	0,5/10
CVSS	AV:N/AC:H/AT:N/PR:N/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/E:U/U:Clear]
Opis	Luka istnieje z powodu niewystarczającej implementacji środków bezpieczeństwa. Atakujący jest w stanie ominąć dyrektywę connect-src Zasad bezpieczeństwa treści, manipulując poddokumentami. Spowodowałoby to również ukrycie połączeń na karcie Sieć w Narzędziach programistycznych.

Numer CVE	CVE-2025-6428
Krytyczność	1.2/10
CVSS	AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/E:U/U:Zielony
Opis	Luka występuje, ponieważ Firefox dla Androida korzysta z adresu URL podanego w parametrze ciągu zapytania łącza zamiast z prawidłowego adresu URL. Zdalny atakujący może przeprowadzić atak phishingowy.

Numer CVE	CVE-2025-6429
Krytyczność	0.5/10
CVSS	AV:N/AC:L/AT:P/PR:N/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/E:U/U:Wyczyść
Opis	Luka występuje z powodu nieprawidłowego parsowania osadzonych adresów URL, co doprowadziło do przepisania adresów URL do domeny youtube.com. Zdalny atakujący może użyć specjalnie opracowanego znacznika embed, aby ominąć kontrole bezpieczeństwa witryny, które ograniczały domeny, w których użytkownicy mogli osadzać.

Numer CVE	CVE-2025-6430
Krytyczność	1.2/10
CVSS	AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/E:U/U:Green
Opis	Luka występuje z powodu błędu podczas obsługi znaczników embed lub object. Gdy pobieranie pliku jest określone dzięki nagłówka Content-Disposition, dyrektywa ta zostanie zignorowana, jeżeli plik zostanie dołączony dzięki znacznika <embed> lub <object>, co potencjalnie narazi witrynę na atak typu cross-site scripting.

Numer CVE	CVE-2025-6431
Krytyczność	1.2/10
CVSS	AV:N/AC:L/AT:N/PR:N/UI:A/VC:L/VI:L/VA:N/SC:L/SI:L/SA:N/E:U/U:Green]
Opis	Luka występuje z powodu błędu w przeglądarce Firefox dla systemu Android podczas otwierania adresów URL w aplikacjach zewnętrznych. Zdalny atakujący może ominąć monit z prośbą o potwierdzenie otwarcia adresu URL w aplikacji zewnętrznej.

Numer CVE	CVE-2025-6432
Krytyczność	0.5/10
CVSS	AV:N/AC:L/AT:P/PR:N/UI:A/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:U/U:Clear]
Opis	Luka występuje z powodu wycieku żądań DNS poza skonfigurowanym serwerem proxy SOCKS. Gdy włączono Multi-Account Containers, żądania DNS mogły ominąć serwer proxy SOCKS, gdy nazwa domeny była nieprawidłowa lub serwer proxy SOCKS nie odpowiadał.

Numer CVE	CVE-2025-6433
Krytyczność	0,5/10
CVSS	AV:N/AC:H/AT:N/PR:N/UI:A/VC:L/VI:N/VA:N/SC:L/SI:N/SA:N/E:U/U:Clear]
Opis	Luka występuje z powodu błędu podczas obsługi nieprawidłowych certyfikatów TLS. jeżeli użytkownik odwiedził stronę internetową z nieprawidłowym certyfikatem TLS i przyznał wyjątek, strona internetowa była w stanie dostarczyć wyzwanie WebAuthn, które użytkownik zostałby poproszony o wypełnienie. Jest to naruszenie specyfikacji WebAuthN, która wymaga „bezpiecznego transportu ustanowionego bez błędów”.

Numer CVE	CVE-2025-6434
Krytyczność	0,5/10
CVSS	AV:N/AC:L/AT:P/PR:N/UI:A/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:U/U:Clear
Opis	Luka występuje z powodu strony wyjątku dla funkcji HTTPS-Only, wyświetlanej, gdy witryna jest otwierana przez HTTP, która nie miała opóźnienia anty-clickjacking, co potencjalnie umożliwiało atakującemu oszukanie użytkownika, aby przyznał wyjątek i załadował stronę internetową przez HTTP.

Numer CVE	CVE-2025-6435
Krytyczność	4,5/10
CVSS	AV:N/AC:H/AT:N/PR:N/UI:A/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:U/U:Clear
Opis	Luka występuje z powodu niewystarczającej walidacji danych wejściowych dostarczonych przez użytkownika. jeżeli użytkownik zapisał odpowiedź z zakładki Sieć w Devtools dzięki opcji menu kontekstowego Zapisz jako, plik ten mógł nie zostać zapisany z rozszerzeniem .download. Mogło to doprowadzić do przypadkowego uruchomienia przez użytkownika złośliwego pliku wykonywalnego.

Numer CVE	CVE-2025-6436
Krytyczność	6.1/10
CVSS	AV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:U/U:Amber
Opis	Luka występuje z powodu błędu granicznego podczas przetwarzania zawartości HTML. Zdalny atakujący może utworzyć specjalnie spreparowaną witrynę, oszukać ofiarę, aby ją otworzyła, wywołać uszkodzenie pamięci i wykonać dowolny kod w systemie docelowym.

Aktualizacja	TAK
Link	https://www.mozilla.org/en-US/security/advisories/mfsa2025-51/ https://www.mozilla.org/en-US/security/advisories/mfsa2025-52/ https://www.mozilla.org/en-US/security/advisories/mfsa2025-53/