De multiples vulnérabilités ont été découvertes dans Mozilla Firefox. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un contournement de la politique de sécurité et une atteinte à l'intégrité des données.
Si Firefox est installé dans un répertoire accessible en écriture par l'utilisateur, le service de maintenance de Mozilla exécutera updater.exe à partir de l'emplacement d'installation avec des privilèges administratifs. Bien que le service de maintenance de Mozilla s'assure que updater.exe est signé par Mozilla, la version aurait pu être restaurée à une version précédente qui aurait permis l'exploitation d'un bogue plus ancien et l'exécution de code arbitraire avec les privilèges système.
Remarque: ce problème n'a affecté que les systèmes d'exploitation Windows. Les autres systèmes d'exploitation ne sont pas affectés.
Risques : Exécution de code arbitraire à distance; Contournement de la politique de sécurité; Atteinte à l'intégrité des données; Atteinte à la confidentialité des données; Élévation de privilèges.
Sources: Bulletin de sécurité Mozilla mfsa2020-36 du 25 août 2020
Lancelot TETANG
Ingénieur sécurité des systèmes d'information
