| Summary | The Firefox installer on Windows can be made to load malicious DLL files stored in the same directory as the installer when it is run. This allows privileged execution if the installer is run with elevated privileges. Note: This attack only affects Windows operating systems. Other operating systems are unaffected. This vulnerability affects Firefox < 54, Firefox ESR < 52.2, and Thunderbird < 52.2. |
|---|---|
| Publication Date | June 12, 2018, 6:29 a.m. |
| Registration Date | Jan. 26, 2021, 1:29 p.m. |
| Last Update | Nov. 21, 2024, 12:32 p.m. |
| CVSS3.0 : HIGH | |
| スコア | 7.8 |
|---|---|
| Vector | CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
| 攻撃元区分(AV) | ローカル |
| 攻撃条件の複雑さ(AC) | 低 |
| 攻撃に必要な特権レベル(PR) | 不要 |
| 利用者の関与(UI) | 要 |
| 影響の想定範囲(S) | 変更なし |
| 機密性への影響(C) | 高 |
| 完全性への影響(I) | 高 |
| 可用性への影響(A) | 高 |
| CVSS2.0 : MEDIUM | |
| Score | 6.8 |
|---|---|
| Vector | AV:N/AC:M/Au:N/C:P/I:P/A:P |
| 攻撃元区分(AV) | ネットワーク |
| 攻撃条件の複雑さ(AC) | 中 |
| 攻撃前の認証要否(Au) | 不要 |
| 機密性への影響(C) | 低 |
| 完全性への影響(I) | 低 |
| 可用性への影響(A) | 低 |
| Get all privileges. | いいえ |
| Get user privileges | いいえ |
| Get other privileges | いいえ |
| User operation required | はい |
| Configuration1 | or higher | or less | more than | less than | |
| cpe:2.3:a:mozilla:firefox:*:*:*:*:*:*:*:* | 54.0 | ||||
| cpe:2.3:a:mozilla:firefox_esr:*:*:*:*:*:*:*:* | 52.2.0 | ||||
| cpe:2.3:a:mozilla:thunderbird:*:*:*:*:*:*:*:* | 52.2.0 | ||||
| execution environment | |||||
| 1 | cpe:2.3:o:microsoft:windows:-:*:*:*:*:*:*:* | ||||
| Title | Windows 版 Mozilla Firefox および Thunderbird のインストーラにおける DLL 読み込みに関する脆弱性 |
|---|---|
| Summary | Mozilla Foundation が提供する Windows 版 Mozilla Firefox および Thunderbird のインストーラには、DLL を読み込む際の検索パスに問題があり、同一ディレクトリに存在する特定の DLL を読み込んでしまう脆弱性 (CWE-427) が存在します。 この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。 報告者: 橘総合研究所 英利 雅美 氏 |
| Possible impacts | インストーラを実行している権限で、任意のコードを実行される可能性があります。 |
| Solution | [最新のインストーラを使用する] 開発者が提供する情報をもとに、最新のインストーラを使用してください。 なお、本脆弱性の影響を受けるのはインストーラの起動時のみのため、既存のユーザは Mozilla Firefox や Thunderbird をアップデートする必要はありません。 |
| Publication Date | July 11, 2017, midnight |
| Registration Date | July 11, 2017, 12:04 p.m. |
| Last Update | Aug. 30, 2018, 6:01 p.m. |
| Mozilla Foundation |
| Mozilla Firefox 54 より前のバージョン |
| Mozilla Firefox ESR 52.2 より前のバージョン |
| Mozilla Thunderbird 52.2 より前のバージョン |
| No | Changed Details | Date of change |
|---|---|---|
| 0 | [2017年07月11日] 掲載 |
Feb. 17, 2018, 10:37 a.m. |
| 1 | [2018年08月30日] 参考情報：National Vulnerability Database (NVD) (CVE-2017-7755) を追加 |
Aug. 30, 2018, 6:01 p.m. |