Múltiples vulnerabildades en Thunderbird, Firefox ESR y Firefox

Fecha liberación: 
24/02/2021
Fuente: 
https://us-cert.cisa.gov/ncas/current-activity/2021/02/24/mozilla-releases-security-updates-thunderb
Riesgo: 
Alto

Descripción

Mozilla ha publicado actualizaciones de seguridad para abordar múltiples vulnerabilidades en Thunderbird 78.7, Firefox ESR 78.7 y Firefox 85. Un atacante podría aprovechar estas vulnerabilidades para tomar el control de un sistema afectado.

Para el caso de las fallas en Thunderbird, las vulnerabilidades no se pueden explotar a través del correo electrónico porque las secuencias de comandos están deshabilitadas al leer el correo, pero son riesgos potenciales en el navegador o en contextos similares al navegador.

Impacto

El informe de violación de la política de seguridad de contenido pudo incluir el destino de un redireccionamiento (CVE-2021-23969). Los agentes de usuario de correo debe asegurarse de que la fuente del archivo es la URL solicitada por la página, previamente redirigidos. Si esto no es posible, los agentes de usuario de correo deben recortar la URL hasta el origen para evitar fugas no intencionales. Bajo ciertos tipos de redireccionamiento, Thunderbird configuró incorrectamente el archivo de origen como el destino de los redireccionamientos.

El informe de infracción de la política de seguridad de contenido pudo incluir el destino de un redireccionamiento (CVE-2021-23968). Si la Política de seguridad del contenido bloqueaba la navegación del marco, el destino completo de un redireccionamiento servido en el marco era informado en el informe de infracción; a diferencia del URI del marco original. Esto podría usarse para filtrar información confidencial contenida en dichos URI.

La propiedad del mensaje MediaError pudo filtrar información sobre recursos de origen cruzado (CVE-2021-23973). Al intentar cargar un recurso de origen cruzado en un contexto de audio/video, puede haber resultado un error de decodificación y el contenido de ese error pudo revelar información sobre el recurso.

Errores de seguridad de la memoria presentes en Thunderbird 78.7 (CVE-2021-23978). Algunos de estos errores mostraron evidencia de corrupción de la memoria y con suficiente esfuerzo algunos de ellos podrían haberse aprovechado para ejecutar código arbitrario.

Afirmaciones multiproceso WASM activadas que validan la separación de dominios de script (CVE-2021-23970). El código especifico del contexto se incluyó en una tabla de salto compartida, resultando en afirmaciones que se activan en código WASM multiproceso.

Los elementos no Script pudieron llevar a una omisión de HTML Sanitizer (CVE-2021-23974). La API DOMParser no procesó correctamente los elementos <noscript> para escaparlos. Esto podría usarse como un vector mXSS para omitir a HTML Sanitizer.

La política de referencia de un sitio web pudo ser anulada, provocando que la URL completa se envíe como referencia (CVE-2021-23971). Al procesar un redireccionamiento con una Política de referencia en conflicto, Firefox habría adoptado la Política de referencia de la redirección. Esto pudo provocar que se proporcionara más información de la que pretendía el origen original al destino de la redirección.

Suplantación de identidad local de manifiestos web para páginas arbitrarias en Firefox para Android (CVE-2021-23976). Cuando se acepta una intención maliciosa de otras aplicaciones instaladas, Firefox para Android aceptó manifiestos de rutas de archivos arbitrarias y permitió declarar manifiestos de aplicaciones web para otros orígenes. Esto podría usarse para obtener acceso a pantalla completa para la suplantación de UI y también podría conducir a ataques de origen cruzado en sitios web específicos.

Una aplicación maliciosa podría leer datos confidenciales de Firefox para los directorios de aplicaciones de Android (CVE-2021-23977). Firefox para Android sufrió una vulnerabilidad de tiempo de uso y tiempo de verificación que permitía a una aplicación maliciosa leer datos confidenciales de los directorios de aplicaciones.

Se omitió la advertencia de phishing en la autenticación HTTP cuando se almacena en caché una redirección (CVE-2021-23972). Una táctica de phishing en la web consiste en proporcionar un enlace con HTTP Auth. Para mitigar este tipo de ataque, Firefox muestra un cuadro de diálogo de advertencia; sin embargo, este cuadro de diálogo de advertencia no se habría mostrado si el dominio malicioso uso un redireccionamiento almacenado en caché por el navegador.

Se informaron errores de seguridad en memoria presentes en Firefox 85 (CVE-2021-23979). Algunos de estos errores mostraban evidencia de corrupción de la memoria y con suficiente esfuerzo algunos de ellos podrían haber sido explotados para ejecutar arbitrariamente código.

Sistemas afectados

  • Thunderbird 78.7
  • Firefox ESR 78.7
  • Firefox 85

Solución

Actualizar a las últimas versiones estables: Thunderbird 78.8, Firefox ESR 78.8 y Firefox 86.

Referencias

  • https://us-cert.cisa.gov/ncas/current-activity/2021/02/24/mozilla-releases-security-updates-thunderbird-firefox-esr-and
  • https://www.mozilla.org/en-US/security/advisories/mfsa2021-08/#CVE-2021-23969
  • https://www.mozilla.org/en-US/security/advisories/mfsa2021-09/
  • https://www.mozilla.org/en-US/security/advisories/mfsa2021-07/#CVE-2021-23975

La Coordinación de Seguridad de la Información/UNAM-CERT agradece el apoyo en la elaboración o traducción y revisión de este Documento a:

  • Angie Aguilar Domínguez (angie dot aguilar at cert dot unam dot mx)
  • Manuel I. Quintero Martínez (manuel dot quintero at cert dot unam dot mx)

 

UNAM-CERT

Equipo de Respuesta a Incidentes UNAM
Coordinación de Seguridad de la Información

incidentes at cert.unam.mx
phishing at cert.unam.mx
https://www.cert.org.mx
https://www.cert.unam.mx
Tel: 55 56 22 81 69