Peter Gerber

**Nome do software vulnerável e versões afetadas** Firefox para Android em versões anteriores à 102 **Descrição** O problema está relacionado ao tratamento de erros de certificado TLS em domínios protegidos pelo cabeçalho HSTS. Quando tal erro ocorre, o navegador deve impedir que o usuário ignore o erro de certificado. No entanto, no Firefox para Android, os usuários tinham a opção de ignorar o erro, o que só podia ser feito explicitamente pelo usuário. Isso poderia permitir que um invasor remoto executasse código arbitrário explorando a vulnerabilidade no procedimento de autenticação do certificado TLS. **Recomendações** Para versões do Firefox para Android anteriores à 102, atualize para a versão 102 ou posterior para resolver o problema. Como solução temporária, considere evitar domínios com erros de certificado TLS para minimizar o risco de exploração. Restrinja o acesso a informações confidenciais ao usar o Firefox para Android até que a atualização seja aplicada.

**Nome do software vulnerável e versões afetadas** Versões do Mozilla Firefox anteriores à 90 **Descrição** O problema está relacionado à implementação do mecanismo HSTS (HTTP Strict Transport Security) no Mozilla Firefox, que apresenta falhas no controle de acesso. A exploração desse problema pode permitir que um invasor remoto contorne os mecanismos de proteção. Quando o particionamento de rede está habilitado, como por meio das configurações de Proteção Avançada contra Rastreamento, uma página de erro TLS permitiria ao usuário ignorar um erro em um domínio que tivesse especificado HSTS, o que não deveria ser possível. No entanto, esse problema não afeta as conexões de rede, pois elas são atualizadas corretamente para HTTPS automaticamente. **Recomendações** Para versões anteriores à 90, atualize para a versão 90 ou posterior para resolver a vulnerabilidade. Como solução temporária, considere desativar as configurações de Proteção Avançada contra Rastreamento para minimizar o risco de exploração. Restrinja o acesso a páginas de erro TLS para impedir que os usuários ignorem erros HSTS em domínios que especifiquem esse recurso de segurança.