Firefox |UAF漏洞通告

发布时间 2020-04-05

0x00 漏洞概述


产品名称

CVE ID

类 型

漏洞等级

远程利用

影响范围

Firefox

CVE-2020-6819

内存破坏

高危

Firefox < 74.0.1

Firefox ESR < 68.6.1

Firefox

CVE-2020-6820

内存破坏

高危

Firefox < 74.0.1

Firefox ESR < 68.6.1


0x01 漏洞详情


Mozilla Firefox是美国Mozilla基金会的一款开源Web浏览器。


2020年4月3日,Mozilla在其安全通告中批露其修复了两个针对Firefox浏览器的0day漏洞(CVE-2020-6819、CVE-2020-6820)。


CVE-2020-6819是浏览器在处理nsDocShell析构函数时,竞争条件可能会导致use-after-free(释放重用)使恶意攻击者将代码放入Firefox内存中,并在浏览器的上下文中实行该代码。


CVE-2020-6820是浏览器在处理ReadableStream时,竞争条件可能会导致use-after-free(释放重用)使恶意攻击者将代码放入Firefox内存中,并在浏览器的上下文中实行该代码。


0x02 处置建议


目前App厂商已修复该漏洞,建议用户升级浏览器至Firefox 74.0.1 或Firefox ESR 68.6.1版本。


0x03 相关资讯


https://zh-cn.tenable.com/blog/cve-2020-6819-cve-2020-6820-critical-mozilla-firefox-zero-day-vulnerabilities-exploited-in-wild?tns_redirect=true


0x04 参考链接


https://www.mozilla.org/en-US/security/advisories/mfsa2020-11/