Mozilla Firefox bis 13 nsSMILTimeValueSpec::IsEventBased Pufferüberlauf

VulDB: Mozilla Firefox bis 13 nsSMILTimeValueSpec::IsEventBased Pufferüberlauf

Allgemein

Mozilla

scipID: 5670
Betroffen: Mozilla Firefox bis 13
Veröffentlicht: 17.07.2012 (Abhishek Arya (Inferno))
Risiko: kritisch
Eintrag: 93.7% komplett
Erstellt: 23.07.2012
Aktualisiert: 03.09.2012

Beschreibung

Es wurde eine kritische Schwachstelle in Mozilla Firefox bis 13, ein Webbrowser, entdeckt. Betroffen davon ist die Funktion nsSMILTimeValueSpec::IsEventBased. Dank der Manipulation mit einer unbekannten Eingabe kann eine Pufferüberlauf-Schwachstelle ausgenutzt werden. Dadurch lässt sich Programmcode ausführen. Auswirkungen sind zu beobachten für Vertraulichkeit, Integrität und Verfügbarkeit.

Die Schwachstelle wurde am 17.07.2012 durch Abhishek Arya (Inferno) von Google als MFSA 2012-44 in Form eines Advisorys (Website) publik gemacht. Das Advisory kann von mozilla.org heruntergeladen werden. Die Veröffentlichung geschah dabei in Koordination mit dem Hersteller. Die Verwundbarkeit wird seit dem 30.03.2012 unter CVE-2012-1951 geführt. Sie gilt als schwierig auszunutzen. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist keine spezifische Authentisierung erforderlich. Es sind sowohl technische Details als auch ein privater Exploit zur Schwachstelle bekannt.

Ein Upgrade auf die Version 14 vermag dieses Problem zu beheben. Eine neue Version kann von mozilla.org bezogen werden. Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle. Mozilla hat demnach sofort reagiert. Mitunter wird der Fehler auch in den Datenbanken von OSVDB (83997) und Secunia (SA49965) dokumentiert. In deutscher Sprache berichtet unter anderem Heise zum Fall.