Mozillaに脆弱性を報告したら3年前から既知だと突っ返された話

さすがに3年放置しているとは思わんわ、あと検索機能馬鹿すぎて見つけられなかったのなんとかして。

概略

  • FirefoxとThunderbirdのインストーラーに特権昇格の脆弱性を見つける
  • 報告する
  • https://bugzilla.mozilla.org/show_bug.cgi?id=1269142 と重複と突っ返される
  • 些末にしろ3年放置はやめろ←今ここ

脆弱性詳細

インストーラーはまずユーザー権限で一時フォルダにファイルを展開し、特権を得てからそのファイルを実行したりProgram Filesにコピーしたりする。

当然一時フォルダはユーザー権限で書き換え可能なので、途中で実行される.exeを書きかえれば特権昇格、その他ファイルを書き換えればProgram Filesへの侵入(を経ての特権昇格)が可能。

またこれらへの対策も一切なく、実行.exeの署名検証やProgram Filesへコピーするファイルのホワイトリストなども存在しない。

よって特権昇格が可能である。

※C:\直下は特権なしではファイルを書き込めないのに書き込めている

PoC本体は https://resemblances.click3.org/product_list/index.cgi/detail/91 を参照のこと。

回答

2016-04-30 12:38投稿の https://bugzilla.mozilla.org/show_bug.cgi?id=1269142 と内容が重複しているとの回答があった。

見間違えじゃないぞ、2016年のとだ。

比較的些末とはいえ3年近くもの間特権昇格の脆弱性を放置するブラウザ……。

結論

Mozillaのインストーラーはこの調子だと何年でも脆弱なまま放置されそうなので、インストールするときは細心の注意を払おうな!

必要になったときだけインストールして即アンインストール運用は特に危険だぞ!