CVE-2019-11708

Analyse en français

Cette vulnérabilité résulte d'une validation insuffisante des paramètres du message IPC Prompt:Open entre processus enfant et parent. Elle permet au processus parent non sandboxé d'ouvrir un contenu web choisi par un processus enfant compromis. Sont concernés Firefox < 67.0.4, Firefox ESR < 60.7.2 et Thunderbird < 60.7.2.

Impact

Un attaquant distant peut, en combinant cette faille avec d'autres vulnérabilités, exécuter du code arbitraire sur la machine de l'utilisateur. Aucune interaction utilisateur n'est requise, score CVSS critique (10) et exploitation active confirmée.

Que faire ?

Appliquer les mises à jour conformément aux instructions de l'éditeur : passer à Firefox 67.0.4 ou ultérieure, Firefox ESR 60.7.2 ou ultérieure et Thunderbird 60.7.2 ou ultérieure. Surveiller les versions vulnérables et bloquer leur exécution en attendant la mise à jour.

Analyse générée par IA le 09/11/2026 : vérifiez l'avis officiel de l'éditeur.

Exploitation active confirmée

Ajoutée au catalogue CISA KEV le 23/05/2022, correctif exigé avant le 13/06/2022 pour les agences fédérales américaines.

Action requise : Apply updates per vendor instructions.

Description officielle (NVD)

Insufficient vetting of parameters passed with the Prompt:Open IPC message between child and parent processes can result in the non-sandboxed parent process opening web content chosen by a compromised child process. When combined with additional vulnerabilities this could result in executing arbitrary code on the user's computer. This vulnerability affects Firefox ESR < 60.7.2, Firefox < 67.0.4, and Thunderbird < 60.7.2.

Preuves de concept publiques (1)

Dépôts tiers non vérifiés, parfois piégés. Ne les exécutez jamais en production : uniquement dans un environnement de test isolé.

• 0vercl0k/CVE-2019-11708 · ★ 626 · 29/09/2019
  Full exploit chain (CVE-2019-11708 & CVE-2019-9810) against Firefox on Windows 64-bit.

Références

• http://packetstormsecurity.com/files/155592/Mozilla-Firefox-Windows-64-Bit-Chain-Exploit.html , Third Party Advisory, VDB Entry
• https://bugzilla.mozilla.org/show_bug.cgi?id=1559858 , Issue Tracking, Vendor Advisory
• https://security.gentoo.org/glsa/201908-12 , Third Party Advisory
• https://www.mozilla.org/security/advisories/mfsa2019-19/ , Vendor Advisory
• https://www.mozilla.org/security/advisories/mfsa2019-20/ , Vendor Advisory
• http://packetstormsecurity.com/files/155592/Mozilla-Firefox-Windows-64-Bit-Chain-Exploit.html , Third Party Advisory, VDB Entry
• https://bugzilla.mozilla.org/show_bug.cgi?id=1559858 , Issue Tracking, Vendor Advisory
• https://security.gentoo.org/glsa/201908-12 , Third Party Advisory
• https://www.mozilla.org/security/advisories/mfsa2019-19/ , Vendor Advisory
• https://www.mozilla.org/security/advisories/mfsa2019-20/ , Vendor Advisory
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-11708 , US Government Resource

En bref

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Produits concernés

Sources officielles

Besoin d'aide ?

Nos experts évaluent votre exposition et vous accompagnent dans la correction.