Mozilla Firefox/Thunderbird Memory Safety Vulnerabilities Fix Advisory (CVE-2024-6600-6604, CVE-2024-7652)

重要な情報： 1. 脆弱性情報およびタイプ： - CVE-2024-7652: JavaScriptエンジンにおける非同期ジェネレーター（Async Generators）の型混乱（Type Confusion） - CVE-2024-6600: WebGL APIにおけるメモリ破壊 - CVE-2024-6601: 権限付与における競合状態（Race condition） - CVE-2024-6602: NSSにおけるメモリ破壊 - CVE-2024-6603: スレッド作成におけるメモリ破壊 - CVE-2024-6604: Firefox 128、Firefox ESR 115.13、Thunderbird 128、Thunderbird 115.13 で修正されたメモリ安全性のバグ 2. 脆弱性の影響度： - CVE-2024-7652: High（高い） - CVE-2024-6600: Moderate（中程度） - CVE-2024-6601: Moderate（中程度） - CVE-2024-6602: Moderate（中程度） - CVE-2024-6603: Moderate（中程度） - CVE-2024-6604: High（高い） 3. 脆弱性の説明： - CVE-2024-7652: 非同期ジェネレーターに関するECMA-262仕様書上の誤りが原因で型混乱が発生し、メモリ破壊やエクスプロイト可能なクラッシュにつながる可能性があります。 - CVE-2024-6600: macOSにおけるプライベートシェーダーメモリへの割り当て時に、GLSLシェーダーの大きな割り当てチェック（Angle）が緩すぎることにより、8192個以上のintを割り当てた際に境界外アクセス（out-of-bounds access）が発生する可能性があります。 - CVE-2024-6601: 競合状態により、クロスオリジンのコンテナがトップレベルオリジンの権限を取得する可能性があります。 - CVE-2024-6602: アロケーターとデアロケーターの不一致により、メモリ破壊が発生する可能性があります。 - CVE-2024-6603: メモリ不足の状況下で割り当てが失敗した場合でも、その後ポインタに対してfreeが呼び出され、メモリ破壊につながる可能性があります。 - CVE-2024-6604: Firefox 127、Firefox ESR 115.12、Thunderbird 115.12 に存在するメモリ安全性のバグ。これらのバグの中にはメモリ破壊の兆候が確認されており、十分な努力を払えば、その一部を悪用して任意のコードを実行できた可能性があると推測されます。 4. 影響を受けるソフトウェア： - Firefox ESR - Firefox ESR 115.13 - Thunderbird 128 - Thunderbird 115.13 5. 公開日： - 2024年7月9日 6. 更新日： - 2024年9月6日：CVE-2024-7652を追加。この脆弱性は初期の公告ではブロックされていたが、複数の組織に影響を与えた。 要約： 本ページは、Mozilla FoundationがFirefox ESR 115.13で修正した複数のセキュリティ脆弱性に関する詳細情報を提供しています。ここには脆弱性番号、影響度、説明、および影響を受けるソフトウェアバージョンが含まれます。この情報は、脆弱性の深刻性と修正状況を理解するために重要です。

目標達成 すべての支援者に感謝 — 100%達成しました！

Mozilla Firefox/Thunderbird Memory Safety Vulnerabilities Fix Advisory (CVE-2024-6600-6604, CVE-2024-7652)

目標達成すべての支援者に感謝 — 100%達成しました！