Geckozone

Bonjour,

Comment peut on expliquer que le 12 juillet 2023 pour corriger la vulnérabilité https://nvd.nist.gov/vuln/detail/CVE-2023-3600, il faut passer en 115.0.2 ESR

Puisqu'il est indiquer que les versions esr 102.x sont impactées
cpe:2.3mozilla:firefox_esr:102.0:::::::*
cpe:2.3mozilla:firefox_esr:102.1:::::::*
cpe:2.3mozilla:firefox_esr:102.2:::::::*
cpe:2.3mozilla:firefox_esr:102.4:::::::*
cpe:2.3mozilla:firefox_esr:102.5:::::::*
cpe:2.3mozilla:firefox_esr:102.6:::::::*
cpe:2.3mozilla:firefox_esr:102.10:::::::*
cpe:2.3mozilla:firefox_esr:102.11:::::::*
cpe:2.3mozilla:firefox_esr:102.12:::::::*
cpe:2.3mozilla:firefox_esr:102.13:::::::*

Or le 1er août 2023, pour corriger la vulnérabilité https://nvd.nist.gov/vuln/detail/CVE-2023-4045, la version corrigée est là 102.14 ESR.

Il y a une incohérence totale de passer de la 102.x ESR vers la 115.0.2 ESR pour que finalement la branche 102.x ESR soit toujours d'actualité.

Salut

Non pas d'incohérence, la version 102* reste utilisable jusqu'au "21 septembre prochain", avant la mise à jour automatique vers la 115*... mais cette dernière est arrivée en juin.

Par exemple, les versions 102.14 et 115.1 sont sortie théoriquement en même temps.

La mise automatique continue pour la version 102, mais pour ceux et celles (particuliers, entreprises ou autres…) qui veulent avoir des améliorations plus rapidement, peuvent trouver la version 115*…

Bonjour

Firefox Release Calendar https://whattrainisitnow.com/calendar
https://support.mozilla.org/fr/kb/firef ... es-version
Notes spéciales

olivier-o.pinon a écrit : 09 août 2023, 12:45

Bonjour,

Comment peut on expliquer que le 12 juillet 2023 pour corriger la vulnérabilité https://nvd.nist.gov/vuln/detail/CVE-2023-3600, il faut passer en 115.0.2 ESR

Puisqu'il est indiquer que les versions esr 102.x sont impactées
.......
Or le 1er août 2023, pour corriger la vulnérabilité https://nvd.nist.gov/vuln/detail/CVE-2023-4045, la version corrigée est là 102.14 ESR.

salut ,

personnellement je ne fais pas la même lecture du site mentionné :

Up to (excluding) 115.0.2

ce qui ama n'est juste qu'une information donnée par le site en question ( source = Mozilla Corporation ) sachant qu'à la date de la rédaction il ne pouvait pas savoir qu'une future version 102.14 corrigerait la vulnérabilité . Il me paraît donc normal de rapporter ce qu'il en est à cette date , ni plus ni moins .

Mais j'ai peut-être loupé une info .

Bonjour,

La vulnérabilité https://nvd.nist.gov/vuln/detail/CVE-2023-3600 n'affecte pas la version ESR 102 donc il est normal qu'il n'y ait pas de patch pour cette ancienne branche ESR. Je pense que la formulation de nist.gov est un peu bancale quand ils mettent "Firefox ESR < 115.0.2", ça donne a entendre que l'ancienne branche ESR 102 est aussi affectée hors ce n'est pas le cas, c'est une faille qui ne concerne que la branche ESR 115.

Quand une faille de sécurité existe, on la corrige sur toutes les branches affectées, c''était le cas pour CVE-2023-4045.