CVE-2013-1690
Mozilla Firefox and Thunderbird Denial-of-Service Vulnerability
Beschreibung
CVE-2013-1690 ist eine Use-After-Free-Schwachstelle in Mozilla Firefox vor Version 22.0, Firefox ESR 17.x vor 17.0.7 und Thunderbird vor 17.0.7, die die Remotecodeausführung über speziell gestaltete Webinhalte ermöglicht. Der Fehler tritt bei der Verarbeitung von Dokumentelementen während der DocumentViewerImpl::LastRefreshTime-Methode auf, wobei freigegebener Speicher mit vom Angreifer kontrollierten Daten wiederverwendet werden kann. Mit einem EPSS-Score von 88,7 % (99,5. Perzentil) wurde diese Schwachstelle signifikant ausgenutzt. Die CISA hat CVE-2013-1690 in den Katalog der bekannten ausgenutzten Schwachstellen aufgenommen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| mozilla | firefox | < 22.0; >= 17.0, < 17.0.7 |
| mozilla | thunderbird | < 17.0.7 |
| mozilla | thunderbird esr | >= 17.0, < 17.0.7 |
| canonical | ubuntu linux | 12.04; 12.10; 13.04 |
| debian | debian linux | 7.0 |
| redhat | gluster storage server for on-premise | 2.0 |
| redhat | enterprise linux desktop | 5.0; 6.0 |
| redhat | enterprise linux eus | 5.9; 6.4 |
| redhat | enterprise linux server | 5.0; 6.0 |
| redhat | enterprise linux server aus | 5.9; 6.4 |
| redhat | enterprise linux workstation | 5.0; 6.0 |
| opensuse | opensuse | 11.4; 12.2; 12.3 |
| suse | linux enterprise desktop | 10; 11 |
| suse | linux enterprise server | 10; 11 |
| suse | linux enterprise software development kit | 10; 11 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://lists.opensuse.org/opensuse-security-announce/2013-07/msg00003.html(Mailing List, Third Party Advisory)
- http://lists.opensuse.org/opensuse-security-announce/2013-07/msg00004.html(Mailing List, Third Party Advisory)
- http://lists.opensuse.org/opensuse-security-announce/2013-07/msg00005.html(Mailing List, Third Party Advisory)
- http://lists.opensuse.org/opensuse-security-announce/2013-07/msg00006.html(Mailing List, Third Party Advisory)
- http://lists.opensuse.org/opensuse-security-announce/2013-07/msg00010.html(Mailing List, Third Party Advisory)
- http://lists.opensuse.org/opensuse-security-announce/2013-07/msg00011.html(Mailing List, Third Party Advisory)
- http://rhn.redhat.com/errata/RHSA-2013-0981.html(Third Party Advisory)
- http://rhn.redhat.com/errata/RHSA-2013-0982.html(Third Party Advisory)
- http://www.debian.org/security/2013/dsa-2716(Mailing List, Third Party Advisory)
- http://www.debian.org/security/2013/dsa-2720(Mailing List, Third Party Advisory)
- http://www.mozilla.org/security/announce/2013/mfsa2013-53.html(Vendor Advisory)
- http://www.securityfocus.com/bid/60778(Broken Link, Third Party Advisory, VDB Entry)
- http://www.ubuntu.com/usn/USN-1890-1(Third Party Advisory)
- http://www.ubuntu.com/usn/USN-1891-1(Third Party Advisory)
- https://bugzilla.mozilla.org/show_bug.cgi?id=857883(Issue Tracking)
- https://bugzilla.mozilla.org/show_bug.cgi?id=901365(Issue Tracking)
- https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A16996(Broken Link)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2013-1690(US Government Resource)
Schwachstellentyp
CWE-416: Use After Free
CVE-2013-1690 ist eine Use-After-Free-Schwachstelle in der Dokument-Rendering-Engine von Mozilla Firefox und Thunderbird. Der Fehler tritt auf, wenn der Browser bestimmte Dokumentelemente verarbeitet, die eine Speicherfreigabe während Aktualisierungsoperationen auslösen, der freigegebene Speicher aber anschließend von der Rendering-Pipeline zugegriffen wird, wodurch ein Angreifer schädliche Daten in den freigegebenen Bereich einschleusen kann.
Mehr erfahren: CWE-416 — Use After Free
Auswirkungsanalyse
CVE-2013-1690 hat einen CVSS-v2-Basiswert von 9,3, was eine kritische Schwere widerspiegelt. Die Schwachstelle erfordert keine Authentifizierung und ist aus der Ferne ausnutzbar, indem ein Benutzer auf eine bösartige Webseite gelockt wird oder schädliche Inhalte in einer HTML-E-Mail eingebettet werden, die von Thunderbird gerendert wird. Eine erfolgreiche Ausnutzung führt zur Ausführung beliebigen Codes mit den Rechten des aktuellen Benutzers. Der EPSS-Score von 88,7 % (99,5. Perzentil) bestätigt eine signifikante aktive Ausnutzung. Diese Schwachstelle ist besonders besorgniserregend, da sie sowohl den Firefox-Webbrowser als auch den Thunderbird-E-Mail-Client betrifft und damit die potenzielle Angriffsfläche um E-Mail-basierte Angriffsvektoren erweitert.
Exploit-Reifegrad
Öffentlicher Exploit-Code für CVE-2013-1690 ist seit der Offenlegung verfügbar, und die Schwachstelle wurde aktiv bei gezielten Angriffen ausgenutzt. Die CISA bestätigte die aktive Ausnutzung durch Aufnahme in den KEV-Katalog. Der EPSS-Score von 88,7 % (99,5. Perzentil) zeigt eine substanzielle Ausnutzungsaktivität über die gesamte Bedrohungslandschaft, wobei die Schwachstelle sowohl in opportunistischen als auch in gezielten Kampagnen eingesetzt wurde.
Behebung
- Mozilla Firefox aktualisieren auf Version 22.0 oder höher und Firefox ESR auf Version 17.0.7 oder höher. Thunderbird auf Version 17.0.7 oder höher aktualisieren, um die Use-After-Free-Schwachstelle zu beheben.
- Automatische Updates aktivieren für Firefox und Thunderbird, um die zeitnahe Anwendung von Sicherheitspatches für zukünftige Schwachstellen sicherzustellen.
- Content-Security-Richtlinien implementieren auf Netzwerkebene, einschließlich Webinhaltsfilterung und E-Mail-Anhang-Scanning, um das Risiko zu reduzieren, dass Benutzer auf bösartige Inhalte stoßen.
- Thunderbird konfigurieren, E-Mails im Klartext anzuzeigen, wo möglich, um HTML-basierte Ausnutzungsvektoren gegen den E-Mail-Client zu minimieren.
- Endpoint-Detection-and-Response-Lösungen (EDR) bereitstellen, um Ausnutzungsversuche zu erkennen und einzudämmen, die auf ungepatchte Browser- und E-Mail-Client-Installationen abzielen.
Technische Details
CVE-2013-1690 ist eine Use-After-Free-Schwachstelle (CWE-416) in der Dokument-Rendering-Engine, die von Mozilla Firefox und Thunderbird gemeinsam genutzt wird. Der Fehler wird während der DocumentViewerImpl::LastRefreshTime-Methode ausgelöst, wo eine Race-Condition oder unsachgemäßes Lifecycle-Management dazu führt, dass ein Dokumentelement freigegeben wird, während es noch von der Rendering-Pipeline referenziert wird. Ein Angreifer kann HTML-Inhalte erstellen, die diesen spezifischen Codepfad auslösen, wodurch der Browser auf freigegebenen Speicher zugreift, der mit vom Angreifer kontrollierten Daten überschrieben wurde. Dies ermöglicht die Kontrolle über den Instruktionszeiger und die anschließende Ausführung beliebigen Codes.
Häufig gestellte Fragen
Wird CVE-2013-1690 aktiv ausgenutzt?
Ja, CVE-2013-1690 wurde aktiv in freier Wildbahn ausgenutzt. Die CISA bestätigte dies durch Aufnahme in den Katalog der bekannten ausgenutzten Schwachstellen. Der EPSS-Score von 88,7 % spiegelt eine signifikante Ausnutzungsaktivität wider.
Welche Produkte sind von CVE-2013-1690 betroffen?
Mozilla Firefox vor Version 22.0, Firefox ESR 17.x vor 17.0.7 und Thunderbird vor 17.0.7 sind betroffen. Alle drei Produkte teilen die gleiche verwundbare Gecko-Rendering-Engine-Komponente.
Wie behebe ich CVE-2013-1690?
Aktualisieren Sie Firefox auf Version 22.0 oder höher, Firefox ESR auf 17.0.7 oder höher und Thunderbird auf 17.0.7 oder höher. Aktivieren Sie automatische Updates, um zukünftige Sicherheitspatches zeitnah zu erhalten.
Wie schwerwiegend ist CVE-2013-1690?
CVE-2013-1690 hat einen CVSS-v2-Score von 9,3 (Kritisch) und ermöglicht Remotecodeausführung über bösartige Webinhalte oder HTML-E-Mails. Der EPSS-Score von 88,7 % bestätigt hohe Ausnutzungsaktivität, und die doppelte Angriffsfläche über Browser und E-Mail-Client macht sie besonders gefährlich.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.