CVE-2014-1524
KrytyczneStreszczenie
Funkcja nsXBLProtoImpl::InstallImplementation w Mozilla Firefox przed wersją 29.0, Firefox ESR 24.x przed 24.5, Thunderbird przed 24.5 oraz SeaMonkey przed 2.26 nie sprawdza poprawnie, czy obiekty są obiektami XBL. To umożliwia zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie awarii usługi (przepełnienie bufora) za pomocą spreparowanego kodu JavaScript.
Ocena ryzyka
Podatność ta stwarza ryzyko wykonania złośliwego kodu przez atakujących, co może prowadzić do utraty danych lub przejęcia kontroli nad systemem. Dodatkowo, może powodować awarie usług, co wpływa na dostępność aplikacji.
Rekomendacja
Zaleca się aktualizację przeglądarki Mozilla Firefox, Thunderbird i SeaMonkey do najnowszych wersji, aby usunąć tę podatność. Należy również monitorować i ograniczać dostęp do aplikacji, aby zminimalizować ryzyko ataków.
Oryginalny opis (angielski, źródło NVD)
The nsXBLProtoImpl::InstallImplementation function in Mozilla Firefox before 29.0, Firefox ESR 24.x before 24.5, Thunderbird before 24.5, and SeaMonkey before 2.26 does not properly check whether objects are XBL objects, which allows remote attackers to execute arbitrary code or cause a denial of service (buffer overflow) via crafted JavaScript code that accesses a non-XBL object as if it were an XBL object.