Aktywnie wykorzystywana w atakach
Mozilla Firefox Use-After-Free Vulnerability
Mozilla - Firefox · Figuruje w katalogu CISA KEV od 2022-03-07. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2022-26485
WysokieCVSS 8.8KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 96 - wyżej niż 96% wszystkich znanych CVE
Streszczenie
Usunięcie parametru XSLT podczas przetwarzania mogło prowadzić do możliwego do wykorzystania użycia po zwolnieniu (use-after-free). Istnieją doniesienia o atakach w środowisku dzikim wykorzystujących tę wadę. Podatność dotyczy Firefoksa < 97.0.2, Firefoksa ESR < 91.6.1, Firefoksa na Androida < 97.3.0, Thunderbirda < 91.6.2 i Focus < 97.3.0.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonania kodu w kontekście przeglądarki, co może prowadzić do przejęcia kontroli nad systemem. Ze względu na aktywne ataki, ryzyko jest wysokie.
Rekomendacja
Zaleca się natychmiastową aktualizację wszystkich dotkniętych produktów Mozilla do najnowszych wersji, które zawierają poprawki.
Oryginalny opis (angielski, źródło NVD)
Removing an XSLT parameter during processing could have lead to an exploitable use-after-free. We have had reports of attacks in the wild abusing this flaw. This vulnerability affects Firefox < 97.0.2, Firefox ESR < 91.6.1, Firefox for Android < 97.3.0, Thunderbird < 91.6.2, and Focus < 97.3.0.