CVE-2020-6819|CVE-2020-6820:Firefox在野利用漏洞通告
2020-04-04 14:31
报告编号:B6-2020-040401
报告来源:360-CERT
报告作者:360-CERT
更新日期:2020-04-04
0x01 漏洞背景
2020年04月04日, 360CERT监测发现2020年04月03日Mozilla官方发布了安全通告,该安全通告包含了两个Firefox严重漏洞,CVE编号分别为CVE-2020-6819
和CVE-2020-6820
。
这两个漏洞都是在某些条件下,当处理nsDocShell
析构函数或处理ReadableStream
时,竞争条件可能会导致use-after-free(释放重用)使恶意攻击者将代码放入Firefox内存中,并在浏览器的上下文中执行该代码。目前Mozilla官方已经捕获到在野利用尝试。
0x02 风险等级
360CERT对该安全更新进行评定
评定方式 | 等级 |
---|---|
威胁等级 | 高危 |
影响面 | 广泛 |
360CERT建议广大用户及时更新Firefox和Firefox ESR。做好资产 自查/自检/预防 工作,以免遭受攻击。
0x03 影响版本
- Firefox < 74.0.1
- Firefox ESR < 68.6.1
0x04 修复建议
- 更新Firefox到74.0.1版本
- 更新Firefox ESR到68.6.1版本
0x05 时间线
2020-04-03 Mozilla官方发布安全通告
2020-04-04 360CERT发布预警