CVE-2019-11707highbajo ataqueCWE-843

CVE-2019-11707: fallo de gravedad alta en Mozilla Firefox

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Firefox+ Monitorear Thunderbird

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

85Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.

ssvc Actcvss 8.8epss 38%
de la publicación al armael mismo día
Publicada en NVD23 jul
1ª PoC26 jun
CISA KEV+1035d
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
Corregido
16 productos (229 componentes)
Red Hat Enterprise Linux AppStream (v. 8) · Red Hat Enterprise Linux Client (v. 7) · Red Hat Enterprise Linux Server Optional (v. 7) · Red Hat Enterprise Linux Workstation (v. 7) · Red Hat Enterprise Linux Desktop (v. 6) · y otros 11
corrección ↗
Acción exigida por CISAplazo federal: 2022-06-13

Apply updates per vendor instructions.

En resumen

Un defecto en cómo Firefox maneja operaciones de arrays en JavaScript puede causar que el navegador se bloquee inesperadamente. Los atacantes pueden explotar esto para bloquear tu navegador, potencialmente como parte de un ataque dirigido.

Detalle técnico

Vulnerabilidad de confusión de tipos en manipulación de Array.pop permitiendo corrupción de memoria por manejo inadecuado de objetos. Vector de ataque es ejecución de JavaScript en contenido web; requiere que el usuario visite página maliciosa. Resulta en bloqueo explotable (DoS o posible ejecución de código).

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

A type confusion vulnerability can occur when manipulating JavaScript objects due to issues in Array.pop. This can allow for an exploitable crash. We are aware of targeted attacks in the wild abusing this flaw. This vulnerability affects Firefox ESR < 60.7.1, Firefox < 67.0.3, and Thunderbird < 60.7.2.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Productos afectados
Mozilla · FirefoxMozilla · Firefox ESRMozilla · Thunderbird
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Mozilla Firefox

En el mismo producto, de las más peligrosas a las menos.

CVE-2016-9079HIGHCVE-2016-9079EPSS 87.4%KEVCVE-2019-11708CRITICALCVE-2019-11708EPSS 55.9%KEVCVE-2019-17026HIGHCVE-2019-17026EPSS 46.3%KEVCVE-2024-9680CRITICALCVE-2024-9680EPSS 23.2%KEVCVE-2022-26485HIGHCVE-2022-26485EPSS 14.3%KEVCVE-2020-6820HIGHCVE-2020-6820EPSS 7.1%KEV