PT-2021-4950
CVE-2021-38507
·
Publicado
2021-11-02
·
Atualizado
2024-12-12
Descrição por
CVSS 3.1
10
CríticaMétricasAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Versões do Firefox anteriores à 94
Versões do Thunderbird anteriores à 91.3
Versões do Firefox ESR anteriores à 91.3
Descrição
O problema está relacionado ao recurso de Criptografia Oportunística do HTTP2, que permite que uma conexão seja atualizada para TLS enquanto mantém as propriedades visuais de uma conexão HTTP. Um invasor de rede poderia explorar isso redirecionando uma conexão do navegador para uma porta diferente, fazendo com que o navegador trate o conteúdo como sendo da mesma origem com HTTP. Isso poderia permitir que um invasor remoto contornasse as restrições de segurança.
Recomendações
Para versões do Firefox anteriores à 94, desative o recurso de Criptografia Oportunística.
Para versões do Thunderbird anteriores à 91.3, desative o recurso de Criptografia Oportunística.
Para versões do Firefox ESR anteriores à 91.3, desative o recurso de Criptografia Oportunística.
Explorabilidade
Exploit
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾