Vulnerabilidad en Política de Seguridad de Contenido en informe de infracción en Firefox, Thunderbird y Firefox ESR (CVE-2021-23968)
Gravedad CVSS v3.1:
MEDIA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
26/02/2021
Última modificación:
27/05/2022
Descripción
Si la Política de Seguridad de Contenido bloqueaba la navegación de tramas, el destino completo de un redireccionamiento servido en la trama se reportaba en el informe de infracción; a diferencia del URI de la trama original. Esto podría ser usado para filtrar información confidencial contenida en dichos URI. Esta vulnerabilidad afecta a Firefox versiones anteriores a 86, Thunderbird versiones anteriores a 78,8 y Firefox ESR versiones anteriores a 78,8
Impacto
Puntuación base 3.x
4.30
Gravedad 3.x
MEDIA
Puntuación base 2.0
4.30
Gravedad 2.0
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:mozilla:firefox:*:*:*:*:*:*:*:* | 86.0 (excluyendo) | |
| cpe:2.3:a:mozilla:firefox_esr:*:*:*:*:*:*:*:* | 78.8 (excluyendo) | |
| cpe:2.3:a:mozilla:thunderbird:*:*:*:*:*:*:*:* | 78.8 (excluyendo) | |
| cpe:2.3:o:debian:debian_linux:9.0:*:*:*:*:*:*:* | ||
| cpe:2.3:o:debian:debian_linux:10.0:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página
Referencias a soluciones, herramientas e información
- https://bugzilla.mozilla.org/show_bug.cgi?id=1687342
- https://lists.debian.org/debian-lts-announce/2021/03/msg00000.html
- https://security.gentoo.org/glsa/202104-09
- https://security.gentoo.org/glsa/202104-10
- https://www.debian.org/security/2021/dsa-4866
- https://www.mozilla.org/security/advisories/mfsa2021-07/
- https://www.mozilla.org/security/advisories/mfsa2021-08/
- https://www.mozilla.org/security/advisories/mfsa2021-09/