CVE:CVE-2021-38507
CNNVD:CNNVD-202111-289
Mozilla Firefox是美国Mozilla基金会的一款开源Web浏览器。
Mozilla Firefox 存在访问控制错误漏洞，该漏洞源于HTTP2 (RFC 8164) 的机会加密功能允许将连接透明地升级到 TLS，同时保留 HTTP 连接的视觉属性，包括与端口 80 上的未加密连接同源。相同的 IP 地址（例如端口 8443）没有选择加入机会加密；网络攻击者可以将浏览器到 443 端口的连接转发到 8443 端口，从而导致浏览器将 8443 端口的内容视为与 HTTP 同源。这是通过禁用使用率较低的机会加密功能解决的。
solution:Upgrade mozilla firefox to a higher version than 94.0,and avoid the version (,94.0); Upgrade mozilla firefox_esr to a higher version than 91.3.0,and avoid the version (,91.3.0); Upgrade mozilla thunderbird to a higher version than 91.3.0,and avoid the version (,91.3.0); Upgrade debian debian_linux to a higher version than 9.0,10.0,11.0,and avoid the version 9.0,10.0,11.0