- شناسه CVE-2025-1930 :CVE
- CWE-416 :CWE
- yes :Advisory
- منتشر شده: مارس 4, 2025
- به روز شده: مارس 4, 2025
- امتیاز: 8.8
- نوع حمله: Unknown
- اثر گذاری: Use After Free
- حوزه: مرورگرها
- برند: Mozilla
- محصول: Firefox
- وضعیتPublished :CVE
- No :POC
- وضعیت آسیب پذیری: patch شده
چکیده
یک آسیب‌پذیری در موزیلا فایرفاکس تا نسخه 135 در ویندوز شناسایی شده است. این آسیب‌پذیری بخشی از کد AudioIPC را تحت تأثیر قرار می‌دهد و منجر به استفاده از حافظه پس از آزادسازی آن (Use After Free) می‌شود. این آسیب‌پذیری با شناسه CVE-2025-1930 ثبت شده است.
این حمله از راه دور قابل اجرا است. توصیه می‌شود که بخش آسیب‌پذیر به نسخه جدید ارتقا یابد.
توضیحات
بر اساس CWE-416، این آسیب‌پذیری زمانی رخ می‌دهد که به حافظه‌ای که آزاد شده است دسترسی پیدا می‌شود. این کار می‌تواند باعث کرش شدن برنامه، استفاده از مقادیر غیرمنتظره یا اجرای کد شود. این مشکل می‌تواند بر محرمانگی (Confidentiality)، یکپارچگی (Integrity) و دسترس‌پذیری (Availability) تأثیر بگذارد.
در ویندوز، یک فرآیند محتوای آلوده می‌تواند از داده‌های دارای مشکل StreamData ارسال‌شده از طریق AudioIPC برای امکان استفاده از حافظه پس از آزادسازی آن در فرآیند مرورگر بهره ببرند. این امر می‌تواند منجر به فرار از سندباکس (Sandbox Escape) شود.
اکسپلویت این آسیب‌پذیری آسان گزارش شده است. حمله از راه دور قابل انجام است و نیازی به احراز هویت ندارد. برای انجام اکسپلویت موفقیت‌آمیز، تعامل کاربر و قربانی مورد نیاز است.
اسکنر آسیب‌پذیری Nessus یک افزونه با شناسه 222870 (برای Mozilla Thunderbird < 128.8) ارائه کرده است که می‌تواند به شناسایی این نقص در محیط‌های هدف کمک کند.
CVSS
| Score | Severity | Version | Vector String |
| 8.8 | HIGH | 3.1 | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
لیست محصولات آسیب پذیر
| Versions | Product |
| affected before 136 | Firefox |
| affected before 115.21 | Firefox ESR |
| affected before 128.8 | Firefox ESR |
| affected before 136 | Thunderbird |
| affected before 128.8 | Thunderbird |
لیست محصولات بروز شده
| Versions | Product |
| 136 | Firefox |
| 115.21 | Firefox ESR |
| 128.8 | Firefox ESR |
| 136 | Thunderbird |
| 128.8 | Thunderbird |
نتیجه گیری
برای جلوگیری از نفوذ از موارد بروزرسانی شده استفاده کنید.
منابع
- https://www.cve.org/CVERecord?id=CVE-2025-1930
- https://www.cvedetails.com/cve/CVE-2025-1930/
- https://www.mozilla.org/en-US/security/advisories/mfsa2025-14/
- https://www.mozilla.org/en-US/security/advisories/mfsa2025-15/
- https://www.mozilla.org/en-US/security/advisories/mfsa2025-16/
- https://www.mozilla.org/en-US/security/advisories/mfsa2025-17/
- https://www.mozilla.org/en-US/security/advisories/mfsa2025-18/
- https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-1930
- https://vuldb.com/?id.298533
- https://nvd.nist.gov/vuln/detail/CVE-2025-1930
- https://cwe.mitre.org/data/definitions/416.html
