CVE-2019-11730

概要

ユーザーがローカルに保存されたHTMLファイルを開くと、そのファイルが`file:` URIを使用して、同じディレクトリまたはサブディレクトリ内の他のファイルに、名前が既知または推測可能な場合にアクセスできる脆弱性が存在します。その後、Fetch APIを使用してこれらのディレクトリに保存されているファイルの内容を読み取ることができ、それらをサーバーにアップロードできる可能性があります。人気のあるAndroidメッセージングアプリと組み合わせることで、悪意のあるHTML添付ファイルがユーザーに送信され、その添付ファイルをFirefoxで開いた場合、そのアプリのローカル保存ファイル名の予測可能なパターンにより、被害者が他の通信相手から受信した添付ファイルを読み取ることが可能であることが実証されました。この脆弱性は、Firefox ESR < 60.8、Firefox < 68、およびThunderbird < 60.8に影響します。

• CVE-2019-11730PoC

  CVE-2019-11730 の Proof-of-Concept エクスプロイトで、セキュリティ研究とテストのために特定の脆弱性の悪用を実証するものです。