NVD Vulnerability Detail

CVE-2015-0802

Summary	Mozilla Firefox before 37.0 relies on docshell type information instead of page principal information for Window.webidl access control, which might allow remote attackers to execute arbitrary JavaScript code with chrome privileges via certain content navigation that leverages the reachability of a privileged window with an unintended persistence of access to restricted internal methods.
Publication Date	April 1, 2015, 7:59 p.m.
Registration Date	Jan. 26, 2021, 2:44 p.m.
Last Update	Nov. 21, 2024, 11:23 a.m.

Affected software configurations

Configuration2	or higher	or less	more than	less than
cpe:2.3:o:canonical:ubuntu_linux:12.04::::lts:::
cpe:2.3:o:canonical:ubuntu_linux:14.10:::::::*
cpe:2.3:o:canonical:ubuntu_linux:14.04::::lts:::

Configuration3		or higher	or less	more than	less than
cpe:2.3:a:mozilla:firefox::::::::			36.0.4

Related information, measures and tools

No	URL	タグ
1	http://lists.opensuse.org/opensuse-security-announce/2015-04/msg00003.html
2	http://lists.opensuse.org/opensuse-security-announce/2015-04/msg00003.html
3	http://www.mozilla.org/security/announce/2015/mfsa2015-42.html	Vendor Advisory
4	http://www.mozilla.org/security/announce/2015/mfsa2015-42.html	Vendor Advisory
5	http://www.oracle.com/technetwork/topics/security/bulletinapr2016-2952098.html
6	http://www.oracle.com/technetwork/topics/security/bulletinapr2016-2952098.html
7	http://www.securitytracker.com/id/1031996
8	http://www.securitytracker.com/id/1031996
9	http://www.ubuntu.com/usn/USN-2550-1
10	http://www.ubuntu.com/usn/USN-2550-1
11	https://bugzilla.mozilla.org/show_bug.cgi?id=1124898
12	https://bugzilla.mozilla.org/show_bug.cgi?id=1124898
13	https://security.gentoo.org/glsa/201512-10
14	https://security.gentoo.org/glsa/201512-10
15	https://www.exploit-db.com/exploits/37958/
16	https://www.exploit-db.com/exploits/37958/

Common Vulnerabilities List

No	CWE	Name	URL
1	CWE-264	認可・権限・アクセス制御	https://cwe.mitre.org/data/definitions/264.html

JVN Vulnerability Information

Mozilla Firefox におけるクローム特権で任意の JavaScript コードを実行される脆弱性

Title	Mozilla Firefox におけるクローム特権で任意の JavaScript コードを実行される脆弱性
Summary	Mozilla Firefox は、Window.webidl アクセス制御のためにページの主要な情報の代わりに docshell の型情報に依存するため、クローム特権で任意の JavaScript コードを実行される脆弱性が存在します。
Possible impacts	第三者により、制限された内部メソッドへのアクセスの意図せず保持する特権付きウィンドウの到達可能性を利用する特定のコンテンツ遷移を介して、クローム特権で任意の JavaScript コードを実行される可能性があります。
Solution	ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
Publication Date	March 31, 2015, midnight
Registration Date	April 3, 2015, 7:42 p.m.
Last Update	April 3, 2015, 7:42 p.m.

Affected System

Mozilla Foundation

Mozilla Firefox 37.0 未満

CVE (情報セキュリティ共通脆弱性識別子)

No	Name	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2015-0802	http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-0802
National Vulnerability Database (NVD)
2	CVE-2015-0802	http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0802

CWE (共通脆弱性タイプ一覧)

No	Name	URL
JVNDB
1	CWE-264	https://jvndb.jvn.jp/ja/cwe/CWE-264.html

ベンダー情報

No	Name	URL
Mozilla Foundation Security Advisory
1	MFSA2015-42	http://www.mozilla.org/security/announce/2015/mfsa2015-42.html
Mozilla Foundation セキュリティアドバイザリ
2	MFSA2015-42	http://www.mozilla-japan.org/security/announce/2015/mfsa2015-42.html

Change Log

No	Changed Details	Date of change
0	[2015年04月03日] 掲載	Feb. 17, 2018, 10:37 a.m.