美國(guó)Mozilla是一個(gè)以創(chuàng)作Firefox網(wǎng)頁(yè)瀏覽器而聞名的自由軟件社區(qū)。Mozilla社區(qū)開(kāi)發(fā)、推廣和支持Mozilla相關(guān)項(xiàng)目，致力于推動(dòng)自由軟件與開(kāi)放標(biāo)準(zhǔn)的發(fā)展。

Mozilla Firefox(火狐瀏覽器)是Mozilla基金會(huì)的產(chǎn)品,它是一款開(kāi)源Web瀏覽器,引擎反應(yīng)快,內(nèi)存占用少。Firefox從2005年開(kāi)始，每年都被媒體選為年度最佳瀏覽器。

Mozilla Firefox ESR是Firefox(Web瀏覽器)的一個(gè)延升支持版本,適用于企業(yè)或者工作單位，又稱Firefox企業(yè)版。它具有體積小巧且運(yùn)行速度快,強(qiáng)大的隱私保密功能和詳細(xì)的工作輔助優(yōu)化等實(shí)用特性，專為中國(guó)用戶量身定制的全方位網(wǎng)頁(yè)瀏覽體驗(yàn).

Mozilla Thunderbird是一套從Mozilla Application Suite獨(dú)立出來(lái)的免費(fèi)電子郵件客戶端軟件。Thunderbird 將速度、隱私與最新技術(shù)融合,高度可定制，為用戶帶來(lái)高度舒適的郵件體驗(yàn)。

不過(guò)在7月28日，Mozilla發(fā)布了安全公告,Mozilla Firefox 78版本、Firefox ESR 68.01版本和78.0版本和Thunderbird 78.1之前版本中存在大量安全漏洞,攻擊者可利用該漏洞執(zhí)行任意代碼。

以下是漏洞詳情：

1.CVE-2020-15652：在工作線程中加載腳本時(shí)重定向目標(biāo)的潛在泄漏

通過(guò)觀察Web Worker中JavaScript錯(cuò)誤的堆棧跟蹤，可以泄漏跨域重定向的結(jié)果。這僅適用于可以解析為腳本的內(nèi)容。

2.CVE-2020-6514：WebRTC數(shù)據(jù)通道向?qū)Φ确叫孤﹥?nèi)部地址

WebRTC使用類實(shí)例的內(nèi)存地址作為連接標(biāo)識(shí)符。不幸的是，該值通常被傳輸?shù)綄?duì)等端，從而允許繞過(guò)ASLR。

3.CVE-2020-15655：擴(kuò)展API可用于繞過(guò)Same-Origin Policy

通過(guò)Web擴(kuò)展觀察或修改的重定向HTTP請(qǐng)求可能會(huì)繞過(guò)現(xiàn)有的CORS檢查，從而可能導(dǎo)致跨域信息泄露。

4.CVE-2020-15653：允許彈出窗口時(shí)繞過(guò)iframe沙箱

使用鏈接時(shí)可以繞過(guò)iframe sandbox。 這可能會(huì)導(dǎo)致依賴沙箱配置的網(wǎng)站出現(xiàn)安全問(wèn)題，沙盒配置允許彈出窗口并托管任意內(nèi)容。

5.CVE-2020-6463 : 紋理競(jìng)爭(zhēng),釋放后重用

精心制作的媒體文件可能會(huì)導(dǎo)致紋理緩存競(jìng)爭(zhēng)，從而導(dǎo)致釋放后重用（use-after-free）,內(nèi)存損壞以及潛在的可利用崩潰。

6.CVE-2020-15656：IonMonkey中特殊參數(shù)的類型混淆

涉及Javascript arguments對(duì)象的JIT優(yōu)化可能會(huì)使以后的優(yōu)化混亂。該風(fēng)險(xiǎn)已通過(guò)代碼中的各種預(yù)防措施得到緩解，導(dǎo)致此漏洞的嚴(yán)重性等級(jí)為中等。

7.CVE-2020-15658：保存到磁盤(pán)時(shí)覆蓋文件類型

下載文件的代碼沒(méi)有正確處理特殊字符，這導(dǎo)致攻擊者能夠截?cái)嘁暂^早位置結(jié)尾的文件，從而導(dǎo)致下載的文件類型與對(duì)話框中顯示的不同。

8.CVE-2020-15657：由于錯(cuò)誤的加載路徑導(dǎo)致DLL劫持

可以使Firefox從安裝目錄中加載攻擊者提供的DLL文件。這要求攻擊者已經(jīng)能夠?qū)⑽募胖迷诎惭b目錄中。

注意：此問(wèn)題僅影響Windows操作系統(tǒng)。其他操作系統(tǒng)不受影響。

9.CVE-2020-15654：自定義光標(biāo)可以覆蓋用戶界面

當(dāng)處于無(wú)休止的循環(huán)中時(shí)，使用CSS指定自定義光標(biāo)的網(wǎng)站可能會(huì)使用戶看起來(lái)好像在與用戶界面進(jìn)行交互（如果沒(méi)有）。這可能導(dǎo)致察覺(jué)到的損壞狀態(tài)，尤其是在與現(xiàn)有瀏覽器對(duì)話框和警告的交互不起作用時(shí)。

10.CVE-2020-15659：內(nèi)存安全錯(cuò)誤

存在的內(nèi)存安全錯(cuò)誤,攻擊者可利用該漏洞執(zhí)行任意代碼。

漏洞修復(fù)

Mozilla Firefox 升級(jí)到79版本,Firefox ESR 升級(jí)到78.1版本,Thunderbird 升級(jí)到78.1版本可修復(fù)上述漏洞。