超危

Mozilla Firefox,ESR,Firefox for Android,Focus,Thunderbird WebGPU IPC代码执行漏洞

2022-03-06 00:00:00 公开，2026-02-24 22:02:10 更新

关键漏洞
CISA KEV
远程
无需认证
CWE Top 25 (2023)
开源组件漏洞
CWE Top 25 (2024)
公开PoC

CWEs：: CWE-416 （Use After Free）
SSVC：: 可利用状态：已被积极利用攻击自动化：否技术影响评估：全部 2025-01-29 05:24:00

风险信息

CVSS v2 向量: AV:N/AC:M/Au:S/C:C/I:C/A:C
CVSS v2 风险值: 8.5
CVSS v3 向量: AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
CVSS v3 风险值: 9.6
CVSS v3.1 向量: AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
CVSS v3.1 风险值: 9.6

详细信息

漏洞类型: 资源管理错误
漏洞描述: Mozilla Firefox是美国Mozilla基金会的一款开源Web浏览器。Mozilla Firefox、Firefox ESR、Firefox for Android、Focus、Thunderbird可能允许远程攻击者在系统上执行任意代码，这是由WebGPU IPC框架中的use-after-free引起的。通过说服受害者访问精心编制的网站，远程攻击者可以使用未知攻击向量利用此漏洞，在易受攻击的系统上执行任意代码或造成拒绝服务。
修复建议: 目前厂商已发布升级补丁以修复漏洞，补丁获取链接： http://www.mozilla.org/en-US/security/advisories/mfsa2022-09/

参考链接