Wladimir Palant

**Nome do Software Vulnerável e Versões Afetadas** Firefox for Android versões anteriores a 155 **Descrição** Um problema de divulgação de informações existe no componente WebExtensions, o que permite a exposição não autorizada de dados sensíveis. **Recomendações** Atualize para a versão 155.

**Nome do software vulnerável e versões afetadas** Extensão do Skype para o Chrome (versões afetadas não especificadas) **Descrição** O problema está relacionado a restrições insuficientes na área controlada do sistema, o que pode ser explorado por um invasor remoto para obter acesso não autorizado a informações protegidas. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do Firefox para Android anteriores à 96 **Descrição** A falha permite a navegação para alguns URLs que não apontam para conteúdo da web ao escanear códigos QR. Esse bug afeta apenas o Firefox para Android; outros sistemas operacionais não são afetados. **Recomendações** Para versões do Firefox para Android anteriores à 96, atualize para a versão 96 ou posterior para resolver o problema.

**Nome do software vulnerável e versões afetadas** Versões do Firefox para Android anteriores à 90 **Descrição** O problema está relacionado ao recurso de preenchimento automático de senhas no Firefox para Android, que era ativado sem a interação do usuário em sites não seguros. Isso permitia um possível acesso não autorizado a informações protegidas devido a um controle de acesso insuficiente. O problema foi corrigido para exigir a interação do usuário antes que o recurso de preenchimento automático insira a senha do usuário. **Recomendações** Para versões do Firefox para Android anteriores à 90, atualize para a versão 90 ou posterior para resolver o problema. Como solução temporária, considere desativar o recurso de preenchimento automático de senhas até que a atualização seja aplicada. Restrinja o acesso a informações confidenciais ao usar versões do Firefox para Android anteriores à 90 para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Versões do Firefox anteriores à 89 Versões do Firefox para Android anteriores à 89 **Descrição** O problema está relacionado à autenticação insuficiente de dados no modo “Navegação Privada” do Mozilla Firefox. Isso permite que um invasor remoto cause uma negação de serviço. O problema afeta especificamente as sugestões de pesquisa na barra de endereços no modo de navegação privada, que reutilizavam dados de sessão do modo normal. Esta vulnerabilidade afeta apenas o Firefox para Android; outros sistemas operacionais não são afetados. **Recomendações** Para versões do Firefox anteriores à 89, atualize para a versão 89 ou posterior para resolver o problema. Para versões do Firefox para Android anteriores à 89, atualize para a versão 89 ou posterior para resolver o problema. Como solução temporária, considere desativar as sugestões de pesquisa da barra de endereços no modo de navegação privada até que um patch esteja disponível.

**Nome do software vulnerável e versões afetadas** Versões do Firefox para Android anteriores à 89 **Descrição** O problema está relacionado à limpeza ou liberação incorreta de recursos, o que pode ser explorado por um invasor para causar uma negação de serviço. Isso pode ocorrer quando um site abre um número excessivo de janelas pop-up, fazendo com que o Firefox para Android fique instável e difícil de recuperar. O número estimado de dispositivos potencialmente afetados não foi especificado. **Recomendações** Para versões do Firefox para Android anteriores à 89, atualize para a versão 89 ou posterior para resolver o problema. Como solução temporária, considere restringir o número de pop-ups que podem ser abertos por um site para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Versões do Firefox anteriores à 88.0.1 Versões do Firefox para Android anteriores à 88.1.3 **Descrição** Uma página da Web maliciosa poderia forçar um usuário do Firefox para Android a executar JavaScript controlado pelo invasor no contexto de outro domínio, resultando em uma vulnerabilidade de Universal Cross-Site Scripting. Esta vulnerabilidade afeta apenas o Firefox para Android, não afetando outros sistemas operacionais. A vulnerabilidade pode ser explorada por um invasor remoto usando um link especialmente criado, permitindo um ataque de cross-site scripting (XSS). **Recomendações** Para versões do Firefox anteriores à 88.0.1, atualize para a versão 88.0.1 ou posterior. Para versões do Firefox para Android anteriores à 88.1.3, atualize para a versão 88.1.3 ou posterior.

**Nome do software vulnerável e versões afetadas** Versões do Firefox anteriores à 88 **Descrição** O problema está relacionado à falta de escapamento, permitindo a injeção de HTML quando uma página da Web é visualizada no Modo de Leitura. Embora uma Política de Segurança de Conteúdo impeça a execução direta de código, a injeção de HTML ainda é possível. Este problema afeta apenas o Firefox para Android; outros sistemas operacionais não são afetados. **Recomendações** Para versões anteriores à 88, atualize para a versão 88 ou posterior para resolver o problema.

**Nome do software vulnerável e versões afetadas** Versões do Bitdefender Total Security 2020 anteriores à 24.0.20.116 **Descrição** O problema está relacionado a uma vulnerabilidade de validação inadequada de entrada no componente do navegador Safepay, permitindo que uma página da web externa, especialmente criada, execute comandos remotos dentro do processo do Safepay Utility. Essa vulnerabilidade pode ser explorada para obter execução remota de código (RCE) a partir de qualquer site. A vulnerabilidade não é o primeiro caso de falha de segurança em software antivírus, já que problemas semelhantes foram encontrados em outros produtos antivírus no passado. **Recomendações** Para as versões do Bitdefender Total Security 2020 anteriores à 24.0.20.116, atualize para a versão 24.0.20.116 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao componente do navegador Safepay até que a atualização seja aplicada.

**Name of the Vulnerable Software and Affected Versions** Kaspersky Anti-Virus versions up to 2020 Kaspersky Internet Security versions up to 2020 Kaspersky Total Security versions up to 2020 Kaspersky Free Anti-Virus versions up to 2020 Kaspersky Small Office Security versions up to 2020 Kaspersky Security Cloud versions up to 2020 **Description** The web protection component of the affected Kaspersky products contains an issue that allows a remote attacker to disable various anti-virus protection features, potentially leading to a denial of service (DoS) or bypass of security measures. This is due to insufficient input validation. **Recommendations** For Kaspersky Anti-Virus versions up to 2020, update to a version later than 2020 to resolve the issue. For Kaspersky Internet Security versions up to 2020, update to a version later than 2020 to resolve the issue. For Kaspersky Total Security versions up to 2020, update to a version later than 2020 to resolve the issue. For Kaspersky Free Anti-Virus versions up to 2020, update to a version later than 2020 to resolve the issue. For Kaspersky Small Office Security versions up to 2020, update to a version later than 2020 to resolve the issue. For Kaspersky Security Cloud versions up to 2020, update to a version later than 2020 to resolve the issue.

**Name of the Vulnerable Software and Affected Versions** Kaspersky Anti-Virus versions up to 2020 Kaspersky Internet Security versions up to 2020 Kaspersky Total Security versions up to 2020 Kaspersky Free Anti-Virus versions up to 2020 Kaspersky Small Office Security versions up to 2020 Kaspersky Security Cloud versions up to 2020 **Description** The web protection component of the affected Kaspersky products contains an issue due to insufficient input validation, allowing a remote attacker to disable security features such as private browsing and anti-banner protection. **Recommendations** For Kaspersky Anti-Virus versions up to 2020, consider disabling the web protection component until a patch is available. For Kaspersky Internet Security versions up to 2020, restrict access to the web protection component to minimize the risk of exploitation. For Kaspersky Total Security versions up to 2020, avoid using the private browsing feature in the web protection component until the issue is resolved. For Kaspersky Free Anti-Virus versions up to 2020, consider temporarily disabling the anti-banner protection feature. For Kaspersky Small Office Security versions up to 2020, restrict access to the web protection component. For Kaspersky Security Cloud versions up to 2020, consider disabling the web protection component.

**Name of the Vulnerable Software and Affected Versions** Kaspersky Anti-Virus versions up to 2020 Kaspersky Internet Security versions up to 2020 Kaspersky Total Security versions up to 2020 Kaspersky Free Anti-Virus versions up to 2020 Kaspersky Small Office Security versions up to 2020 Kaspersky Security Cloud versions up to 2020 **Description** The web protection component of the affected Kaspersky products was vulnerable to remote disclosure of various information about the user's system, including Windows version, product version, and host unique ID. This issue is related to the lack of protection for service data, which could allow a remote attacker to disclose protected information. **Recommendations** For Kaspersky Anti-Virus versions up to 2020, update to a version later than 2020 to resolve the issue. For Kaspersky Internet Security versions up to 2020, update to a version later than 2020 to resolve the issue. For Kaspersky Total Security versions up to 2020, update to a version later than 2020 to resolve the issue. For Kaspersky Free Anti-Virus versions up to 2020, update to a version later than 2020 to resolve the issue. For Kaspersky Small Office Security versions up to 2020, update to a version later than 2020 to resolve the issue. For Kaspersky Security Cloud versions up to 2020, update to a version later than 2020 to resolve the issue.

**Name of the Vulnerable Software and Affected Versions** Firefox versions prior to 69 Firefox ESR versions prior to 68.1 **Description** The issue is related to Content Security Policy (CSP) directives that use hash-based sources. If such a directive is defined with an empty string as input, it allows the execution of any javascript: URIs, potentially bypassing CSP permissions and enabling malicious JavaScript content to run. This could allow a remote attacker to execute arbitrary code. **Recommendations** For Firefox versions prior to 69, update to version 69 or later to resolve the issue. For Firefox ESR versions prior to 68.1, update to version 68.1 or later to resolve the issue.

**Name of the Vulnerable Software and Affected Versions** Kaspersky Anti-Virus versions up to 2019 Kaspersky Internet Security versions up to 2019 Kaspersky Total Security versions up to 2019 Kaspersky Free Anti-Virus (affected versions not specified) Kaspersky Small Office Security (affected versions not specified) **Description** The issue is related to information disclosure in Kaspersky antivirus products. It could potentially disclose a unique Product ID by forcing the victim to visit a specially crafted webpage, such as via clicking a phishing link. This could allow a remote attacker to reveal protected information using a specially formed web page. The flaw may have allowed online trackers to identify users without using browser cookies. **Recommendations** For Kaspersky Anti-Virus versions up to 2019, update to a version later than 2019 to resolve the issue. For Kaspersky Internet Security versions up to 2019, update to a version later than 2019 to resolve the issue. For Kaspersky Total Security versions up to 2019, update to a version later than 2019 to resolve the issue. For Kaspersky Free Anti-Virus, at the moment, there is no information about a newer version that contains a fix for this vulnerability. For Kaspersky Small Office Security, at the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Firefox ESR versions prior to 52.8 Firefox versions prior to 60 PDF.js versions prior to 2.0.550 **Description** The issue is related to errors in code generation management in the PDF Viewer component of Firefox ESR and Firefox browsers. It allows a remote attacker to execute arbitrary code using a specially crafted PDF file. The PDF viewer does not sufficiently sanitize PostScript calculator functions, enabling malicious JavaScript to be injected through a crafted PDF file. This JavaScript can then be run with the permissions of the PDF viewer by its worker. **Recommendations** For Firefox ESR versions prior to 52.8, update to version 52.8 or later. For Firefox versions prior to 60, update to version 60 or later. For PDF.js versions prior to 2.0.550, update to version 2.0.550 or later.

**Name of the Vulnerable Software and Affected Versions** Firefox ESR versions prior to 52.8 Firefox versions prior to 60 **Description** The issue allows a malicious site to bypass same-origin protections for the PDF viewer, potentially intercepting messages meant for the viewer. This could enable the site to retrieve PDF files restricted to viewing by an authenticated user on a third-party website. The vulnerability is also described as being due to insufficient input validation in the Capture Handler component of Firefox ESR and Firefox browsers, which could allow a remote attacker to elevate their privileges. **Recommendations** For Firefox ESR versions prior to 52.8, update to version 52.8 or later. For Firefox versions prior to 60, update to version 60 or later.

**Name of the Vulnerable Software and Affected Versions** Thunderbird versions prior to 52.8 Thunderbird ESR versions prior to 52.8 Firefox versions prior to 60 Firefox ESR versions prior to 52.8 **Description** The issue is related to the manipulation of the `baseURI` property of the theme element, allowing sites to bypass security checks on permissions to install lightweight themes. This could enable a malicious site to install a theme without user interaction, potentially containing offensive or embarrassing images. The vulnerability is associated with errors in processing permissions. **Recommendations** For Thunderbird versions prior to 52.8, update to version 52.8 or later. For Thunderbird ESR versions prior to 52.8, update to version 52.8 or later. For Firefox versions prior to 60, update to version 60 or later. For Firefox ESR versions prior to 52.8, update to version 52.8 or later.

**Name of the Vulnerable Software and Affected Versions** Firefox versions prior to 60 **Description** The issue is related to the web console and JavaScript debugger not properly sanitizing output, which can lead to displaying internal chrome pages as active hyperlinks. This could allow malicious sites to trick users into clicking on "javascript:" links, potentially leading to unauthorized access to protected information. **Recommendations** For versions prior to 60, update to version 60 or later to resolve the issue. As a temporary workaround, consider restricting access to the web console and JavaScript debugger to minimize the risk of exploitation. Avoid clicking on suspicious links, especially those starting with "chrome:" or "javascript:".

**Name of the Vulnerable Software and Affected Versions** Firefox ESR versions prior to 45.6 Firefox versions prior to 50.1 **Description** The issue allows HTML tags received from the Pocket server to be processed without sanitization, enabling any JavaScript code to be executed in the "about:pocket-saved" page. This gives the code access to Pocket's messaging API through HTML injection. **Recommendations** For Firefox ESR versions prior to 45.6, update to version 45.6 or later. For Firefox versions prior to 50.1, update to version 50.1 or later.

**Name of the Vulnerable Software and Affected Versions** Firefox ESR versions prior to 45.6 Firefox versions prior to 50.1 **Description** The Pocket toolbar button in Firefox does not verify the origin of incoming events, allowing content from other origins to fire events and inject content and commands into the Pocket context. This issue does not affect users with e10s enabled. **Recommendations** For Firefox ESR versions prior to 45.6, update to version 45.6 or later to resolve the issue. For Firefox versions prior to 50.1, update to version 50.1 or later to resolve the issue.