Обновления Firefox 67.0.3 и 60.7.1 с устранением уязвимости
https://www.opennet.ru/opennews/art.shtml?num=50897
Опубликованы(
https://www.mozilla.org/en-US/firefox/67.0.3/releasenotes/) корректирующие выпуски Firefox 67.0.3 и 60.7.1, в которых устранена критическая уязвимость(
https://www.mozilla.org/en-US/security/advisories/mfsa2019-18/) (CVE-2019-11707), позволяющая вызвать крах браузера при выполнении вредоносного JavaScript-кода. Уязвимость вызвана проблемой с обработкой типов в методе Array.pop. Доступ к детальной информации пока ограничен(
https://bugzilla.mozilla.org/show_bug.cgi?id=1544386). Также не ясно ограничивается ли проблема заявленным крахом или потенциально может быть использована для организации выполнения кода злоумышленника.
Дополнение: По данным(
https://www.us-cert.gov/ncas/current-activity/2019/06/18/Mozilla-Releases-Security-Updates-Firefox-and-Firefox-ESR) Агентства кибербезопасности и безопасности инфраструктуры США (CISA) уязвимость позволяет атакующему получить контроль за системой и выполнить код с правами браузера. Более того, уже зафиксированы факты совершения атак с использованием данной уязвимости. Всем пользователям рекомендуется срочно установить выпущенное обновление.
Дополнение: Следом доступен(
https://blog.torproject.org/new-release-tor-browser-852) новый выпуск Tor Browser 8.5.2, в котором устранена вышеотмеченная уязвимость и обновлена версия NoScript 10.6.3.
В Firefox 67.0.4 и 60.7.2 устранена ещё одна 0-day уязвимость
https://www.opennet.ru/opennews/art.shtml?num=50913
Следом за выпусками Firefox 67.0.3 и 60.7.1 опубликованы(
https://www.mozilla.org/en-US/firefox/67.0.4/releasenotes/) дополнительные корректирующие релизы 67.0.4 и 60.7.2, в которых устранена вторая 0-day уязвимость(
https://www.mozilla.org/en-US/security/advisories/mfsa2019-19/) (CVE-2019-11708), позволяющая обойти механизм sandbox-изоляции. Проблема использует манипуляцию с IPC-вызовом Prompt:Open для открытия в родительском процессе, в котором не применяется sandbox, web-контента, выбранного дочерним процессом. В сочетании с другой уязвимостью данная проблема позволяет обойти все уровни защиты и организовать выполнение кода в системе.
Выявленные в последних двух выпусках Firefox уязвимости до своего исправления были использованы(
https://twitter.com/SecurityGuyPhil/status/1141466335592869888) для организации атаки на сотрудников биржи криптовалют Coinbase, а также применялись(
https://objective-see.com/blog/blog_0x43.html) для распространения вредоносного ПО для платформы macOS (дополнение: выявлены следы распространения через указанные уязвимоти и вредоносного ПО для Windows). Инженеры Coinbase выявили наличие уязвимости в Firefox в ходе анализа вредоносного кода на фишинг-странице, ссылки на которую были отправлены сотрудникам по электронной почте. Не исключается, что похожие атаки были проведены и на другие компании.
Интересно, что информация о первой уязвимости была направлена(
https://twitter.com/5aelo/status/1141273394723414016) в Mozilla участником проекта Google Project Zero ещё 15 апреля и 10 июня была исправлена(
https://hg.mozilla.org/releases/mozilla-beta/rev/109cefe117fbdd1764097e06796960082f4fee4e) в бета-версии Firefox 68 (вероятно атакующие проанализировали опубликованное исправление и подготовили эксплоит, воспользовавшись ещё одной уязвимостью для обхода sandbox-изоляции).