Een ernstige kwetsbaarheid is ontdekt in Mozilla’s producten, namelijk in Firefox en Thunderbird, waardoor zogenoemde naamloze cookies andere beveiligde cookies kunnen overschrijven. Dit probleem treft versies van Firefox onder 141, Firefox ESR onder 140.1 en Thunderbird onder 141 en 140.1.
Door deze kwetsbaarheid kan een kwaadwillende het gedrag van beveiligde cookies manipuleren, zelfs als deze laatste het Secure attribuut hebben. Dit kan gebeuren als de naamloze cookies via HTTP worden gezet.
Overzicht
De kwetsbaarheid stelt een aanvaller in staat om beveiligde cookies te overschrijven met naamloze cookies, wat kan leiden tot gevaarlijke situaties waarbij de beveiliging van sessies en gebruikersgegevens in gevaar komt.
Aanbevelingen
- Update onmiddellijk uw Mozilla Firefox naar versie 141 of hoger.
- Werk Mozilla Firefox ESR bij naar versie 140.1 of hoger.
- Installeer de nieuwste updates voor Thunderbird en zorg ervoor dat u minstens versie 141 of 140.1 gebruikt.
Bronnen
- Bugzilla Mozilla
- Mozilla Security Advisory 1
- Mozilla Security Advisory 2
- Mozilla Security Advisory 3
- Mozilla Security Advisory 4
Vraag en Antwoord
Wat is CVE-2025-8037?
CVE-2025-8037 beschrijft een kwetsbaarheid waarbij naamloze cookies in staat zijn andere cookies te overschrijven, zelfs als die laatste een beveiligd kenmerk hebben.
Welke systemen zijn kwetsbaar?
Mozilla Firefox versies onder 141, Firefox ESR onder 140.1, en Thunderbird onder 141 en 140.1 zijn kwetsbaar voor deze aanval.
Bestaat er al een patch of beveiligingsupdate?
Ja, Mozilla heeft beveiligingsupdates uitgebracht. Het is essentieel deze zo snel mogelijk te installeren.
Wat kan een aanvaller met deze kwetsbaarheid?
Een aanvaller kan beveiligde cookies overschrijven, zelfs als deze op een veilige manier zijn ingesteld, wat kan resulteren in gestolen sessies of andere beveiligingsrisico’s.
