SecBoard
Zurück zur CVE-Übersicht

CVE-2023-29542

CRITICAL(9.8)

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score25/100 — MITTEL
  • CVSS 9.8 — Kritisch

Erwähnungen (letzte 60 Tage)

Artikel

EPSS-Score

0.9%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

9.8

Technische Schwere

SecBoard-Einordnung

CVE-2023-29542 betrifft Mozilla Firefox, Firefox ESR und Thunderbird auf Windows-Systemen. Die Schwachstelle ermöglicht es, Dateierweiterungs-Sicherheitsmechanismen zu umgehen, indem ein Zeilenumbruch in einem Dateinamen verwendet wird. Dies könnte zur unbeabsichtigten Ausführung von bösartigem Code führen, da schädliche Erweiterungen wie .lnk nicht korrekt durch .download ersetzt werden. Die Schwachstelle wird mit einem CVSS-Score von 9.8 als kritisch eingestuft. Die Exploit-Wahrscheinlichkeit () liegt bei 1%, und die Schwachstelle ist derzeit nicht im KEV-Katalog für aktiv ausgenutzte Schwachstellen gelistet. Security-Teams sollten umgehend Updates für betroffene Mozilla Firefox-Versionen (< 112), Firefox ESR (< 102.10) und Thunderbird (< 102.10) auf Windows-Systemen einspielen. Eine Priorisierung ist aufgrund der kritischen Bewertung und der potenziellen Codeausführung dringend empfohlen, auch wenn keine aktive Ausnutzung bekannt ist.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

A newline in a filename could have been used to bypass the file extension security mechanisms that replace malicious file extensions such as .lnk with .download. This could have led to accidental execution of malicious code. *This bug only affects Firefox and Thunderbird on Windows. Other versions of Firefox and Thunderbird are unaffected.* This vulnerability affects Firefox < 112, Firefox ESR < 102.10, and Thunderbird < 102.10.

Erkennung & Indikatoren

Ausnutzung

In den geprüften Quellen nicht genannt

Behobene Versionen

  • Firefox 112
  • Firefox ESR 102.10
  • Thunderbird 102.10

Threat-Hunting-Queries

Sentinel/Defender KQL

DeviceFileEvents
| where InitiatingProcessFileName in ("firefox.exe", "thunderbird.exe")
| where FileName has_any (".lnk", ".url", ".local", ".scf")
| where FileName contains "\n" // Newline character in filename
| project Timestamp, DeviceName, InitiatingProcessFileName, FileName, FolderPath, SHA256

Splunk SPL

index=* (sourcetype=WinEventLog:Microsoft-Windows-Sysmon/Operational OR sourcetype=WinEventLog:Security) 
| (Image="*\\firefox.exe" OR Image="*\\thunderbird.exe") 
| FileName IN ("*.lnk", "*.url", "*.local", "*.scf") 
| FileName="*\n*" 
| table _time, host, Image, FileName, ParentImage, Hashes

Sigma

title: Firefox/Thunderbird Newline Filename Bypass
id: 7e0e0e0e-0e0e-0e0e-0e0e-0e0e0e0e0e0e
status: experimental
description: Detects potential bypass of file extension security mechanisms in Firefox/Thunderbird on Windows by using a newline character in the filename.
references:
  - https://nvd.nist.gov/vuln/detail/CVE-2023-29542
logsource:
  category: file_event
  product: windows
detection:
  selection:
    Image|endswith:
      - '\firefox.exe'
      - '\thunderbird.exe'
    TargetFilename|contains:
      - '.lnk'
      - '.url'
      - '.local'
      - '.scf'
    TargetFilename|contains: '\n'
  condition: selection
fields:
  - Image
  - TargetFilename
level: high

Elastic ES|QL

FROM file_event
WHERE process.executable.endswith any ('firefox.exe', 'thunderbird.exe')
AND file.name.contains any ('.lnk', '.url', '.local', '.scf')
AND file.name.contains '\n'
SELECT @timestamp, host.name, process.executable, file.name, file.path, file.hash.sha256

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Betroffene Produkte

  • cpe:2.3:a:mozilla:firefox:*:*:*:*:*:*:*:*
  • cpe:2.3:a:mozilla:firefox_esr:*:*:*:*:*:*:*:*
  • cpe:2.3:a:mozilla:thunderbird:*:*:*:*:*:*:*:*

Referenzen