Mozilla | 报告 #2686750 - MozillaVPN：通过逻辑漏洞实现权限提升

漏洞摘要

此漏洞是对先前已修复问题 #2261577 的绕过利用。攻击者在macOS安装过程中使用符号链接，使非特权攻击者能够获得root权限。该漏洞已在MozillaVPN 2.24版本中修复。

时间线

• 2024年8月28日 14:48 UTC
  northsea 向Mozilla提交报告

• 2024年8月28日 14:49 UTC
  northsea 更新漏洞信息

• 2024年8月29日 11:07 UTC
  Mozilla员工frida-k将状态改为"已分类"

• 2024年9月12日 15:26 UTC
  Mozilla向northsea发放奖金

• 2024年9月12日 15:40 UTC
  northsea 发表评论

• 2024年10月28日 17:22 UTC
  Mozilla员工frida-k将状态改为"重新测试"

• 2024年11月1日 15:00 UTC
  northsea 完成重新测试

• 2024年11月1日 15:32 UTC
  Mozilla接受重新测试结果

• 2024年11月1日 15:32 UTC
  Mozilla员工frida-k关闭报告并将状态改为"已解决"

• 2024年11月28日 15:34 UTC
  Mozilla员工frida-k更新弱点分类

• 2025年6月3日 13:34 UTC
  Mozilla员工frida-k请求披露此报告

• 15天前
  Mozilla锁定此报告

• 15天前
  此报告已被披露

报告详情

• 报告时间：2024年8月28日 14:48 UTC
• 报告者：northsea
• 报告对象：Mozilla
• 报告ID：#2686750
• 状态：已解决
• 严重程度：中危（4 ~ 6.9）
• 披露时间：2025年7月3日 13:34 UTC
• 弱点类型：文件访问前链接解析不当（‘链接跟随’）
• CVE ID：无
• 奖金：隐藏
• 账户详情：无

注意：您的JavaScript似乎已禁用。要使用HackerOne，请在浏览器中启用JavaScript并刷新此页面。