CVE-2015-4495highbajo ataqueCWE-346

CVE-2015-4495

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Firefox+ Monitorear pdf.js

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

98Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 8.8epss 69%
de la publicación al arma2 días
Publicada en NVD8 ago
1ª PoC+2d
CISA KEV+2482d
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
Corregido
15 productos (194 componentes)
Red Hat Enterprise Linux Server (v. 7) · Red Hat Enterprise Linux Client (v. 7) · Red Hat Enterprise Linux Client Optional (v. 7) · Red Hat Enterprise Linux Desktop (v. 6) · Red Hat Enterprise Linux Desktop Optional (v. 6) · y otros 10
corrección ↗
No afectado
3 productos (5 componentes) — porque el código vulnerable no está presente en el producto
Red Hat Enterprise Linux 6 · Red Hat Enterprise Linux 7 · Red Hat Enterprise Linux 5
Acción exigida por CISAplazo federal: 2022-06-15

Apply updates per vendor instructions.

En resumen

El lector de PDF de Firefox tenía una falla de seguridad que permitía a atacantes eludir protecciones diseñadas para evitar que los sitios web accedan a archivos fuera de su dominio. Un sitio malicioso podría usar código especial para leer sus archivos u obtener acceso no autorizado al navegador.

Detalle técnico

CVE-2015-4495 explota un desvío de la Política del Mismo Origen en el manejo de PDF de Firefox mediante JavaScript crafted que interactúa con setters nativos. El vector de ataque implica JavaScript malicioso que aprovecha validación insuficiente de origen en el lector de PDF, permitiendo potencialmente divulgación de archivos y escalada de privilegios.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

The PDF reader in Mozilla Firefox before 39.0.3, Firefox ESR 38.x before 38.1.1, and Firefox OS before 2.2 allows remote attackers to bypass the Same Origin Policy, and read arbitrary files or gain privileges, via vectors involving crafted JavaScript code and a native setter, as exploited in the wild in August 2015.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Productos afectados
n/a · n/a
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.