CVE-2024-9680

CVSS 9.8 CRITICALEPSS 32.6%● KEVCWE-416

En resumen

Un defecto en Firefox permite que atacantes ejecuten código malicioso en tu computadora mediante animaciones. El navegador intenta usar datos de animación que ya fueron eliminados de la memoria, y esta debilidad está siendo explotada activamente.

Detalle técnico

Vulnerabilidad use-after-free en el subsistema de líneas de tiempo de animación que permite ejecución de código arbitrario en el proceso de contenido. El ataque requiere únicamente que la víctima visite un sitio web malicioso; la explotación exitosa compromete el aislamiento de procesos y otorga ejecución de código con privilegios de proceso de contenido. Explotación activa confirmada.

Resumen generado y traducido por IA a partir de la descripción oficial.

An attacker was able to achieve code execution in the content process by exploiting a use-after-free in Animation timelines. We have had reports of this vulnerability being exploited in the wild. This vulnerability affects Firefox < 131.0.2, Firefox ESR < 128.3.1, Firefox ESR < 115.16.1, Thunderbird < 131.0.1, Thunderbird < 128.3.1, and Thunderbird < 115.16.0.

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Productos afectados

Mozilla · Firefox Mozilla · Firefox ESR Mozilla · Thunderbird

PoCs públicas encontradas — 2

githubgithub.com/tdonaworth/Firefox-CVE-2024-9680★ 11 githubgithub.com/moscovium-mc/Tor-0day-JavaScript-Exploit★ 10

⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.

¿Quieres saber si tu infraestructura está expuesta a esto?

Hablar con TrueHacking →

Referencias

https://bugs.freebsd.org/bugzilla/show_bug.cgi?id=281992 https://bugzilla.mozilla.org/show_bug.cgi?id=1923344 https://lists.debian.org/debian-lts-announce/2024/10/msg00005.html https://lists.debian.org/debian-lts-announce/2024/10/msg00006.html https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2024-49039 https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-9680 https://www.mozilla.org/security/advisories/mfsa2024-51/https://www.mozilla.org/security/advisories/mfsa2024-52/