Firefox |UAF缝隙公告

颁布功夫 2020-04-05

0x00 缝隙概述


产品名称

CVE ID

类 型

缝隙等级

远程利用

影响领域

Firefox

CVE-2020-6819

内存粉碎

高危

是

Firefox < 74.0.1

Firefox ESR < 68.6.1

Firefox

CVE-2020-6820

内存粉碎

高危

是

Firefox < 74.0.1

Firefox ESR < 68.6.1


0x01 缝隙详情


Mozilla Firefox是美国Mozilla基金会的一款开源Web浏览器 。


2020年4月3日，Mozilla在其安全公告中批露其建复了两个针对Firefox浏览器的0day缝隙（CVE-2020-6819、CVE-2020-6820） 。


CVE-2020-6819是浏览器在处置nsDocShell析构函数时，竞争前提可能会导致use-after-free（开释沉用）使恶意攻击者将代码放入Firefox内存中，并在浏览器的高低文中执行该代码 。


CVE-2020-6820是浏览器在处置ReadableStream时，竞争前提可能会导致use-after-free（开释沉用）使恶意攻击者将代码放入Firefox内存中，并在浏览器的高低文中执行该代码 。


0x02 措置建议


目前软件厂商已建复该缝隙，建议用户升级浏览器至Firefox 74.0.1 或Firefox ESR 68.6.1版本 。


0x03 有关新闻


https://zh-cn.tenable.com/blog/cve-2020-6819-cve-2020-6820-critical-mozilla-firefox-zero-day-vulnerabilities-exploited-in-wild?tns_redirect=true


0x04 参考链接


https://www.mozilla.org/en-US/security/advisories/mfsa2020-11/