← voltar
CVE-2015-4495

CVE-2015-4495

CVSS 8.8 HIGHEPSS 70.2%● KEVCWE-346
Em resumo

O leitor de PDF do Firefox tinha uma falha de segurança que permitia a atacantes contornar proteções que impedem sites de acessar arquivos fora de seu domínio. Um site malicioso poderia usar código especial para ler seus arquivos ou ganhar acesso não autorizado ao navegador.

Detalhe técnico

CVE-2015-4495 explora um desvio da Política de Mesma Origem no tratamento de PDF do Firefox através de JavaScript crafted que interage com setters nativos. O vetor de ataque envolve JavaScript malicioso que aproveita validação insuficiente de origem no leitor de PDF, potencialmente permitindo divulgação de arquivos e elevação de privilégio.

Resumo gerado e traduzido por IA a partir da descrição oficial.
The PDF reader in Mozilla Firefox before 39.0.3, Firefox ESR 38.x before 38.1.1, and Firefox OS before 2.2 allows remote attackers to bypass the Same Origin Policy, and read arbitrary files or gain privileges, via vectors involving crafted JavaScript code and a native setter, as exploited in the wild in August 2015.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Produtos afetados
n/a · n/a
PoCs públicas encontradas — 3
githubgithub.com/vincd/CVE-2015-4495★ 1cve_referencewww.exploit-db.com/exploits/37772/não verificadoexploitdbwww.exploit-db.com/exploits/37772não verificado
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.

Quer saber se a sua infraestrutura está exposta a isto?

Falar com a TrueHacking →
Referências
http://lists.opensuse.org/opensuse-security-announce/2015-08/msg00009.htmlhttp://lists.opensuse.org/opensuse-security-announce/2015-08/msg00010.htmlhttp://lists.opensuse.org/opensuse-security-announce/2015-08/msg00014.htmlhttp://lists.opensuse.org/opensuse-security-announce/2015-08/msg00015.htmlhttp://lists.opensuse.org/opensuse-security-announce/2015-08/msg00021.htmlhttp://lists.opensuse.org/opensuse-security-announce/2015-09/msg00016.htmlhttp://rhn.redhat.com/errata/RHSA-2015-1581.htmlhttps://blog.mozilla.org/security/2015/08/06/firefox-exploit-found-in-the-wild/https://bugzilla.mozilla.org/show_bug.cgi?id=1178058https://bugzilla.mozilla.org/show_bug.cgi?id=1179262https://security.gentoo.org/glsa/201512-10https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2015-4495