BDU:2024-09268 (CVE-2024-9393)

Уязвимость механизма CORS браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird, позволяющая нарушителю обойти ограничения безопасности и поучить несанкционированный доступ к защищаемой информации

Опубликовано: 2024-11-11

Описание

Уязвимость механизма CORS браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с ошибкой подтверждения источника данных при обработке пути resource://pdf.js. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти ограничения безопасности и поучить несанкционированный доступ к защищаемой информации

Затрагиваемое ПО и версии

Red Hat Enterprise Linux (8)Debian GNU/Linux (11)Debian GNU/Linux (12)Astra Linux Special Edition (1.7)Astra Linux Special Edition (4.7)Red Hat Enterprise Linux (9)Red Hat Enterprise Linux (8.2 Advanced Update Support)Astra Linux Common Edition (1.6 «Смоленск»)Red Hat Enterprise Linux (8.4 Telecommunications Update Service)Red Hat Enterprise Linux (8.4 Update Services for SAP Solutions)Red Hat Enterprise Linux (8.4 Advanced Mission Critical Update Support)Red Hat Enterprise Linux (8.8 Extended Update Support)Red Hat Enterprise Linux (9.2 Extended Update Support)Red Hat Enterprise Linux (9.0 Update Services for SAP Solutions)Red Hat Enterprise Linux (8.6 Update Services for SAP Solutions)Red Hat Enterprise Linux (8.6 Telecommunications Update Service)Red Hat Enterprise Linux (8.6 Advanced Mission Critical Update Support)Red Hat Enterprise Linux (7 Extended Lifecycle Support)Astra Linux Special Edition (1.8)Thunderbird (до 131)Thunderbird (до 128.3)Firefox (до 131)Firefox ESR (до 115.16)Firefox ESR (до 128.3)ОСОН ОСнова Оnyx (до 2.12)

Способ устранения

Использование рекомендаций:
Для продуктов Mozilla Corp.:
https://www.mozilla.org/security/advisories/mfsa2024-46/
https://www.mozilla.org/security/advisories/mfsa2024-47/
https://www.mozilla.org/security/advisories/mfsa2024-48/
https://www.mozilla.org/security/advisories/mfsa2024-49/
https://www.mozilla.org/security/advisories/mfsa2024-50/

Для продуктов Red Hat, Inc.:
https://access.redhat.com/security/cve/CVE-2024-9393

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2024-9393

Обновление программного обеспечения firefox-esr до версии 128.6.0esr+repack-1~deb11u3.osnova2u1

Обновление программного обеспечения thunderbird до версии 1:128.6.0esr+repack-1~deb11u1.osnova2u1

Для ОС Astra Linux:
- обновить пакет firefox до 131.0.2+build1-0ubuntu0.20.04.1~mt1+ci202410111226+astra13 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0319SE17
- обновить пакет thunderbird до 1:128.5.0+build1-0ubuntu0.20.04.1~mt1+ci202412042101+astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0319SE17

Для ОС Astra Linux:
- обновить пакет firefox до 132.0+build1-0ubuntu0.20.04.1~mt1+ci202411061002+astra13 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0411SE18
- обновить пакет thunderbird до 1:128.6.1+build3-0ubuntu0.20.04.1astra1+ci1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0411SE18

Для ОС Astra Linux:
- обновить пакет firefox до 131.0.2+build1-0ubuntu0.20.04.1~mt1+ci202410111226+astra13 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-0422SE47
- обновить пакет thunderbird до 1:128.5.0+build1-0ubuntu0.20.04.1~mt1+ci202412042101+astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-0422SE47

Для ОС Astra Linux:
- обновить пакет firefox до 145.0.2+build1-0ubuntu0.25.04.1astra1+ci1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20251225SE16
- обновить пакет thunderbird до 1:140.6.0+build2-0ubuntu0.22.04.1astra1+ci1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20251225SE16

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

https://bugzilla.redhat.com/show_bug.cgi?id=2315956 https://bugzilla.mozilla.org/show_bug.cgi?id=1918301 https://www.mozilla.org/security/advisories/mfsa2024-46/https://www.mozilla.org/security/advisories/mfsa2024-47/https://www.mozilla.org/security/advisories/mfsa2024-48/https://www.mozilla.org/security/advisories/mfsa2024-49/https://www.mozilla.org/security/advisories/mfsa2024-50/https://access.redhat.com/security/cve/CVE-2024-9393

Проверьте безопасность своего сайта и почты → Полная проверка домена