CVE-2024-9680criticalbajo ataqueransomwareCWE-416

CVE-2024-9680: fallo crítico en Mozilla Firefox

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Firefox+ Monitorear Thunderbird

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

83Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA, tiene alerta oficial del gobierno de Brasil y tiene prueba de concepto pública.

ssvc Actcvss 9.8epss 23%
de la publicación al arma8 días
Publicada en NVD9 oct
1ª PoC+8d
CISA KEV+6d
Alerta oficial en Brasil

El gobierno federal de Brasil publicó una alerta, recomendación o boletín que cita esta vulnerabilidad.

Fuente: CTIR Gov (GSI) y CISC Gov.br, bajo licencia CC BY-ND 3.0.
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
Afectado
2 productos (6 componentes)
Red Hat Enterprise Linux 6 · Red Hat Enterprise Linux 7
workaround: Red Hat has investigated whether a possible mitigation exists for this issue, and has not been able to identify a practical example. Please update the affected package as soon as possible.
Corregido
13 productos (255 componentes)
Red Hat Enterprise Linux AppStream (v. 9) · Red Hat Enterprise Linux AppStream EUS (v.9.2) · Red Hat Enterprise Linux AppStream (v. 8) · Red Hat Enterprise Linux AppStream E4S (v.8.6) · Red Hat Enterprise Linux AppStream E4S (v.9.0) · y otros 8
corrección ↗
No afectado
1 producto (4 componentes) — porque el código vulnerable no está presente en el producto
Red Hat Enterprise Linux 10
Acción exigida por CISAplazo federal: 2024-11-05

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

En resumen

Un defecto en Firefox permite que atacantes ejecuten código malicioso en tu computadora mediante animaciones. El navegador intenta usar datos de animación que ya fueron eliminados de la memoria, y esta debilidad está siendo explotada activamente.

Detalle técnico

Vulnerabilidad use-after-free en el subsistema de líneas de tiempo de animación que permite ejecución de código arbitrario en el proceso de contenido. El ataque requiere únicamente que la víctima visite un sitio web malicioso; la explotación exitosa compromete el aislamiento de procesos y otorga ejecución de código con privilegios de proceso de contenido. Explotación activa confirmada.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

An attacker was able to achieve code execution in the content process by exploiting a use-after-free in Animation timelines. We have had reports of this vulnerability being exploited in the wild. This vulnerability affects Firefox < 131.0.2, Firefox ESR < 128.3.1, Firefox ESR < 115.16.1, Thunderbird < 131.0.1, Thunderbird < 128.3.1, and Thunderbird < 115.16.0.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Mozilla · FirefoxMozilla · Firefox ESRMozilla · Thunderbird
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Mozilla Firefox

En el mismo producto, de las más peligrosas a las menos.

CVE-2016-9079HIGHCVE-2016-9079EPSS 87.4%KEVCVE-2019-11708CRITICALCVE-2019-11708EPSS 55.9%KEVCVE-2019-17026HIGHCVE-2019-17026EPSS 46.3%KEVCVE-2019-11707HIGHCVE-2019-11707EPSS 38.0%KEVCVE-2022-26485HIGHCVE-2022-26485EPSS 14.3%KEVCVE-2020-6820HIGHCVE-2020-6820EPSS 7.1%KEV