CVE-2020-26964
Beschreibung
Wenn das Remote-Debugging über USB-Funktion in Firefox für Android auf einer Android-Version vor Android 6.0 aktiviert wurde, konnten nicht vertrauenswürdige Apps mit der Funktion verbunden sein und mit den Privilegien des Browsers zum Lesen und Interagieren mit Webinhalten betrieben werden. Die Funktion wurde als Unix-Domain-Socket implementiert, geschützt durch die Android-SELinux-Richtlinie; SELinux wurde jedoch nicht für Versionen vor 6.0 durchgesetzt. Dies wurde behoben, indem das Remote Debugging über USB-Funktion von betroffenen Geräten entfernt wurde. *Hinweis: Dieses Problem betraf nur Firefox für Android. Andere Betriebssysteme sind nicht betroffen.* Diese Sicherheitslücke betrifft Firefox < 83.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Auf eine behobene Version aktualisieren: 83.0.
Empfohlene Schritte
- Betroffene Systeme identifizieren: Mozilla firefox_mobile.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
- Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.