Trusted Design

CVE-2013-1690 の詳細

CVEの情報

説明:
Mozilla Firefox before 22.0, Firefox ESR 17.x before 17.0.7, Thunderbird before 17.0.7, and Thunderbird ESR 17.x before 17.0.7 do not properly handle onreadystatechange events in conjunction with page reloading, which allows remote attackers to cause a denial of service (application crash) or possibly execute arbitrary code via a crafted web site that triggers an attempt to execute data at an unmapped memory location.

CVE更新日: 2013-06-26 03:19:10.793000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2022-03-28

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.690210000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2013-1690について、以下の観点から解説します。

1. 脆弱性の概要

Mozilla Firefox、Firefox ESR、Thunderbird、およびThunderbird ESRにおいて、ページの再読み込みと連携してonreadystatechangeイベントが適切に処理されない脆弱性です。これにより、細工されたWebサイトを介して、リモートの攻撃者がサービス拒否（アプリケーションのクラッシュ）を引き起こしたり、未マッピングのメモリ位置でデータを実行しようとすることで、任意のコードを実行する可能性があります。

1.1 影響

  • サービス拒否 (アプリケーションのクラッシュ)
  • 任意のコード実行の可能性
  • 機密性への影響: 全面的 (Complete)
  • 完全性への影響: 全面的 (Complete)
  • 可用性への影響: 全面的 (Complete)

1.2 深刻度

  • CVSS v2 基本評価値: 9.3 (危険)
    • Vector: AV:N/AC:M/Au:N/C:C/I:C/A:C
      • 攻撃元区分 (Access Vector): ネットワーク (Network)
      • 攻撃条件の複雑さ (Access Complexity): 中 (Medium)
      • 認証の要否 (Authentication): 不要 (None)
      • 機密性への影響 (Confidentiality Impact): 全面的 (Complete)
      • 完全性への影響 (Integrity Impact): 全面的 (Complete)
      • 可用性への影響 (Availability Impact): 全面的 (Complete)
  • CVSS v3.1 基本評価値: 8.8 (High)
    • Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
      • 攻撃経路 (Attack Vector): ネットワーク (Network)
      • 攻撃の複雑さ (Attack Complexity): 低 (Low)
      • 必要な特権 (Privileges Required): 不要 (None)
      • ユーザーインタラクション (User Interaction): 必要 (Required)
      • スコープ (Scope): 変更なし (Unchanged)
      • 機密性への影響 (Confidentiality Impact): 高 (High)
      • 完全性への影響 (Integrity Impact): 高 (High)
      • 可用性への影響 (Availability Impact): 高 (High)
  • SUSEでは「重要な (important)」深刻度と評価しています。
  • CISAの既知の悪用された脆弱性 (KEV) カタログにリストされており、悪用が確認されています。CISAの修正期限は2022年4月18日でした。
  • EPSS (Exploit Prediction Scoring System) の確率は69.0%です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は特定のOSバージョンそのものに影響するのではなく、脆弱なバージョンのソフトウェアが稼働している様々なOS環境に影響します。検索結果では、以下の製品の脆弱なバージョンが影響を受けるとされています。

  • Mozilla Firefox 22.0より前のバージョン
  • Mozilla Firefox ESR 17.x (17.0.7より前のバージョン)
  • Mozilla Thunderbird 17.0.7より前のバージョン
  • Mozilla Thunderbird ESR 17.x (17.0.7より前のバージョン)

これらのアプリケーションは、Windows、macOS、Linux (Ubuntu, Red Hat, openSUSE, Debianなど) といった多様なOS上で動作するため、該当するバージョンのソフトウェアを使用している環境が影響を受けます。

2.2 影響を受ける設定

  • onreadystatechangeイベントの処理とページの再読み込みとの連携方法。

3. 影響を受けた時の兆候

  • アプリケーションのクラッシュ (サービス拒否)。
  • 直接的な兆候としては、脆弱なアプリケーションが予期せず終了する、または応答しなくなることが挙げられます。任意のコード実行の場合、システム上の異常な動作（予期しないプロセス、ファイルの変更など）が発生する可能性がありますが、このCVEの記述からはアプリケーションクラッシュが直接的な兆候として挙げられています。

4. 推奨対策

4.1 本対策

影響を受けるソフトウェアを以下のバージョンにアップグレードしてください。

  • Mozilla Firefox をバージョン 22.0 以降にアップグレード。
  • Mozilla Firefox ESR をバージョン 17.0.7 以降にアップグレード。
  • Mozilla Thunderbird をバージョン 17.0.7 以降にアップグレード。
  • Mozilla Thunderbird ESR をバージョン 17.0.7 以降にアップグレード。
  • 各ベンダーの指示に従って更新を適用してください。

4.2 暫定回避策（緩和策）

このCVEに対する具体的な暫定回避策は、提供された情報源には詳細に記述されていません。一般的に、パッチがすぐに適用できない場合の緩和策としては、影響を受ける機能を無効にする、アクセス制限を行う、ネットワークを分離する、またはWAFやEDRなどの補完的なセキュリティツールを使用することが考えられます。 しかし、CVE-2013-1690は古い脆弱性であり、永続的な修正が提供されているため、速やかに修正パッチを適用することが最も推奨される対策です。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る