Sploitus

Exploit for CVE-2019-11708 CVE-2019-11708 CVE-2019-9810

kitploit · 2026-08-28

Exploit Code

MARKDOWN21 lines
## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-0VERCL0K-CVE-2019-11708
# Vollständiger Exploit-Chain für CVE-2019-11708 & CVE-2019-9810

Dies ist eine vollständige Browser-Compromise-Exploit-Chain (CVE-2019-11708 & CVE-2019-9810), die auf Firefox unter Windows 64-Bit abzielt. Sie nutzt CVE-2019-9810, um Code-Ausführung sowohl im Content-Prozess als auch im Parent-Prozess zu erlangen, und CVE-2019-11708, um den Parent-Prozess dazu zu bringen, eine beliebige URL zu besuchen.

![bigint](https://assets.kitploit.com/production/public/readmes/14054/6b21e75256702f8245551a096a5095ce232265dc97280c5cb0eea93bf3172937.gif)

Ich habe die Ursache und Ausnutzung von CVE-2019-9810 bereits im Artikel A journey into IonMonkey: root-causing CVE-2019-9810 und im zugehörigen GitHub-Repository behandelt.

CVE-2019-11708 wurde durch das Bulletin mfsa2019-19 behoben und im Mozilla-Bug-Tracker als _Bug 1559858_ eingetragen. Hier ist die Zusammenfassung des Problems:

root@kitploit:~
    
    
    Insufficient vetting of parameters passed with the Prompt:Open IPC message between child
    and parent processes can result in the non-sandboxed parent process opening web content
    chosen by a compromised child process. When combined with additional vulnerabilities this
    could result in executing arbitrary code on the user's computer.
    

Der Commit, der das Problem behebt, ist hier zu finden: Clean up prompt open calls in Prompter.jsm.