CVE-2019-11708
Mozilla Firefox and Thunderbird Sandbox Escape Vulnerability
Beschreibung
CVE-2019-11708 ist eine Sandbox-Escape-Schwachstelle in Mozilla Firefox und Thunderbird, die zu Remote-Code-Ausführung außerhalb des sandboxed Content-Prozesses des Browsers führen kann. Durch Ausnutzung unzureichender Validierung von Parametern, die über Inter-Prozess-Kommunikation (IPC) übergeben werden, kann ein Angreifer aus der Content-Prozess-Sandbox ausbrechen und Code mit den Privilegien des Elternprozesses ausführen. CISA hat die aktive Ausnutzung bestätigt und CVE-2019-11708 in den Known Exploited Vulnerabilities Katalog aufgenommen. Mit einem EPSS-Perzentil von 98,6 % wird diese Schwachstelle insbesondere in Kombination mit CVE-2019-11707 für vollständige Systemkompromittierung intensiv ausgenutzt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| mozilla | firefox | < 60.7.2; < 67.0.4 |
| mozilla | thunderbird | < 60.7.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/155592/Mozilla-Firefox-Windows-64-Bit-Chain-Exploit.html(Third Party Advisory, VDB Entry)
- https://bugzilla.mozilla.org/show_bug.cgi?id=1559858(Issue Tracking, Vendor Advisory)
- https://security.gentoo.org/glsa/201908-12(Third Party Advisory)
- https://www.mozilla.org/security/advisories/mfsa2019-19/(Vendor Advisory)
- https://www.mozilla.org/security/advisories/mfsa2019-20/(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-11708(US Government Resource)
Schwachstellentyp
CWE-250: Ausführung mit unnötigen Privilegien
CWE-250 beschreibt eine Schwachstelle, bei der ein Produkt eine Operation auf einer höheren Privilegienstufe als dem erforderlichen Minimum ausführt, was eine größere Angriffsfläche schafft. Bei CVE-2019-11708 ermöglicht die unzureichende Validierung von IPC-Nachrichten zwischen dem sandboxed Content-Prozess und dem privilegierten Elternprozess von Firefox einem Angreifer, aus der Sandbox auszubrechen und Code mit erhöhten Privilegien auszuführen.
Weitere Informationen: CWE-250 — Execution with Unnecessary Privileges
Auswirkungsanalyse
CVE-2019-11708 ist eine Sandbox-Escape-Schwachstelle, die es einem Angreifer ermöglicht, aus der Firefox-Content-Prozess-Sandbox auszubrechen und Code mit den vollen Privilegien des Elternprozesses des Browsers auszuführen. Dies hebt effektiv die Sicherheitsgrenze auf, die die Mehrprozess-Architektur von Firefox durchsetzen soll. In Kombination mit einer Content-Prozess-Code-Execution-Schwachstelle wie CVE-2019-11707 erreicht der kombinierte Angriff uneingeschränkte Codeausführung auf dem Hostsystem — der Angreifer kann Malware installieren, Anmeldedaten stehlen, auf Dateien zugreifen und persistenten Zugang aufrechterhalten. Das EPSS-Perzentil von 98,6 % weist auf extrem hohe Ausnutzungsaktivität hin. Die Auswirkung erstreckt sich auch auf Thunderbird, was bedeutet, dass E-Mail-basierte Exploits diesen Sandbox-Escape ebenfalls nutzen können. Die Schwachstelle ist besonders schwerwiegend, da Sandbox-Escapes relativ selten und im Exploit-Ökosystem hochgeschätzt sind.
Exploit-Reifegrad
CISA hat die aktive Ausnutzung von CVE-2019-11708 bestätigt und die Schwachstelle in den Known Exploited Vulnerabilities Katalog mit einer Behebungsfrist bis zum 13. Juni 2022 aufgenommen. Das EPSS-Perzentil von 98,6 % spiegelt umfangreiche reale Ausnutzung wider. Mozilla hat bestätigt, dass CVE-2019-11708 als Zero-Day in Kombination mit CVE-2019-11707 in gezielten Angriffen gegen Kryptowährungsunternehmen ausgenutzt wurde. Die Angriffskette war ausgeklügelt: CVE-2019-11707 (Type Confusion) ermöglichte initiale Codeausführung im sandboxed Content-Prozess, während CVE-2019-11708 dem Angreifer den Sandbox-Escape und vollständigen System-Level-Zugang erlaubte. Diese Kombination eines Renderer-Bugs mit einem Sandbox-Escape ist charakteristisch für staatlich unterstützte oder Advanced-Persistent-Threat-Operationen.
Behebung
- Aktualisieren Sie Mozilla Firefox auf Version 67.0.4 oder höher und Firefox ESR auf Version 60.7.2 oder höher. Aktualisieren Sie Thunderbird auf Version 60.7.2 oder höher.
- Aktivieren Sie automatische Updates in allen Mozilla-Produkten, um eine schnelle Bereitstellung von Sicherheitspatches sicherzustellen. Unternehmensumgebungen sollten Konfigurationsmanagement verwenden, um die Einhaltung von Mindestversionen durchzusetzen.
- Implementieren Sie Netzwerksegmentierung und Endpoint-Isolation für hochwertige Arbeitsplätze, insbesondere für Personal im Kryptowährungs- oder Finanzsektor, das von ausgeklügelten Angriffen betroffen sein könnte.
- Setzen Sie Endpoint-Detection-and-Response-Lösungen (EDR) ein, die Sandbox-Escape-Verhalten erkennen können, einschließlich ungewöhnlicher Kindprozess-Erstellung durch Browser-Prozesse und unerwarteter Privilegieneskalationsmuster.
- Erwägen Sie den Einsatz von Browser-Isolationslösungen, die Browser-Prozesse in Einweg-Virtualumgebungen ausführen und so eine zusätzliche Eindämmungsschicht bieten.
Technische Details
CVE-2019-11708 ist eine Sandbox-Escape-Schwachstelle in Mozilla Firefox und Thunderbird, die unzureichende Validierung von Prompt:Open-IPC-Nachrichten zwischen dem sandboxed Content-Prozess und dem privilegierten Elternprozess (Chrome-Prozess) ausnutzt. Firefox verwendet eine Mehrprozess-Architektur, bei der Webinhalte in sandboxed Content-Prozessen mit eingeschränktem Systemzugang ausgeführt werden, während der Elternprozess volle Privilegien behält. Die Kommunikation zwischen diesen Prozessen erfolgt über IPC-Nachrichten. Die Schwachstelle besteht, weil der Elternprozess bestimmte vom Content-Prozess empfangene Parameter nicht ausreichend validiert, insbesondere im Zusammenhang mit dem Prompt:Open-Nachrichtentyp. Ein Angreifer, der bereits Codeausführung im Content-Prozess erreicht hat, kann eine speziell präparierte IPC-Nachricht senden, die den Elternprozess dazu veranlasst, Operationen auszuführen, die vom Content-Prozess-Kontext aus nicht erlaubt sein sollten.
Häufig gestellte Fragen
Wird CVE-2019-11708 aktiv ausgenutzt?
Ja, CVE-2019-11708 wurde als Zero-Day in gezielten Angriffen gegen Kryptowährungsunternehmen ausgenutzt, in Kombination mit CVE-2019-11707. CISA hat die Schwachstelle in den KEV-Katalog aufgenommen, und das EPSS-Perzentil von 98,6 % bestätigt extrem hohe Ausnutzungsaktivität.
Welche Produkte sind von CVE-2019-11708 betroffen?
CVE-2019-11708 betrifft Mozilla Firefox (vor Version 67.0.4), Firefox ESR (vor 60.7.2) und Mozilla Thunderbird (vor 60.7.2). Die Schwachstelle befindet sich im IPC-Mechanismus, der von diesen Produkten gemeinsam genutzt wird.
Wie behebe ich CVE-2019-11708?
Aktualisieren Sie Firefox auf Version 67.0.4+, Firefox ESR auf 60.7.2+ oder Thunderbird auf 60.7.2+. Aktivieren Sie automatische Updates und setzen Sie EDR-Lösungen ein, die Sandbox-Escape-Verhalten von Browser-Prozessen erkennen können.
Wie schwerwiegend ist CVE-2019-11708?
CVE-2019-11708 ist eine kritische Sandbox-Escape-Schwachstelle mit einem EPSS-Perzentil von 98,6 %. Sandbox-Escapes gehören zu den schwerwiegendsten Browser-Schwachstellen, da sie die primäre Sicherheitsgrenze zum Schutz des Hostsystems durchbrechen. In Kombination mit CVE-2019-11707 ermöglicht sie vollständige Systemkompromittierung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.