- Aktif istismar
- Yama var
- CWE-20
CVE-2019-11708
Mozilla Firefox ve Thunderbird'de sandbox kaçışı zafiyeti
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 2654 gün
- Kaydı açan
- mozilla
Yönetici özeti
Yaygın kullanılan Firefox ve Thunderbird sürümlerindeki bu açık, saldırganın çalışanların bilgisayarlarında kod çalıştırmasına olanak verebilir ve gerçek saldırılarda kullanıldığı bilinmektedir. Eski sürümlerin hızla güncellenmesi gerekir.
ÖzetTürkçe
Firefox ve Thunderbird'de alt (child) süreç ile ana (parent) süreç arasında iletilen Prompt:Open IPC mesajının parametreleri yeterince doğrulanmıyor. Ele geçirilmiş bir alt süreç, sandbox dışında çalışan ana sürece kendi seçtiği web içeriğini actırabiliyor. Etkilenen sürümler: Firefox ESR 60.7.2 öncesi, Firefox 67.0.4 öncesi ve Thunderbird 60.7.2 öncesi. Zafiyet CISA KEV listesinde yer alıyor ve aktif olarak istismar edildiği biliniyor.
Saldırgan ne yapabilir?
Saldırgan, başka zafiyetlerle birlikte kullandığında tarayıcı sandbox korumasını aşarak kullanıcının bilgisayarında rastgele kod çalıştırabilir. Bu durum sistemin tamamen ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
Insufficient vetting of parameters passed with the Prompt:Open IPC message between child and parent processes can result in the non-sandboxed parent process opening web content chosen by a compromised child process. When combined with additional vulnerabilities this could result in executing arbitrary code on the user's computer. This vulnerability affects Firefox ESR < 60.7.2, Firefox < 67.0.4, and Thunderbird < 60.7.2.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- Firefox'u 67.0.4 veya üzeri bir sürüme güncelleyin. Üretici
- Firefox ESR kullanıyorsanız 60.7.2 veya üzeri bir sürüme geçin. Üretici
- Thunderbird'ü 60.7.2 veya üzeri bir sürüme güncelleyin. Üretici
- Üretici talimatlarına uygun şekilde güncellemeleri uygulayın. CISA
- Güncelleme yapılana kadar etkilenen sürümlerde güvenilmeyen web sitelerine girmekten ve şüpheli e-postaları açmaktan kaçının. Genel öneri
Ek önlemler
- Kurumdaki tüm uç noktalarda Firefox ve Thunderbird sürümlerini envanterden kontrol edin, eski sürümleri tespit edin. Genel öneri
- Tarayıcı ve e-posta istemcileri için otomatik güncellemeyi etkin tutun. Genel öneri
- Kullanıcıların günlük işlerini yönetici yetkisi olmayan hesaplarla yapmasını sağlayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler3 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Mozilla Firefox | < 67.0.4 | 67.0.4 |
| Mozilla Firefox ESR | < 60.7.2 | 60.7.2 |
| Mozilla Thunderbird | < 60.7.2 | 60.7.2 |
Kaynaklar7 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.