Новооткрит бъг в браузърите Firefox и Tor принуди техните разработчици да пуснат извънредни актуализации, за да затворят пролуката. Уязвимостта позволява на хакери да получат пълен контрол над компютри под Windows, Linux и macOS, използващи някой от двата браузъра.
Идентифицирана като CVE-2019-11707, уязвимостта се отнася към категорията „type confusion”, или несъответствие на използваните типове данни. Тя възниква заради проблеми в обработката на типове данни в Array.pop, използван при работа на браузъра с обекти JavaScript.
Съгласно описанието в сайта на Mozilla, този проблем може да доведе до „експлоатируем срив” в работата на браузъра.
Уязвимостта е критична, тъй като позволява изпълнение на произволен код – по-конкретно, злонамерен JavaScript директно в браузъра и впоследствие установяване на контрол върху цялата система.
Засегнати са всички версии на Firefox и Firefox ESR под Windows, macOS и Linux. Извънредният ъпдейт на Firefox 67.0.3 и Firefox ESR 60.7.1 отстранява проблема.
Неизвестни хакери вече са използвали уязвимостта в серия от фишингови атаки, започнала на 17 юни. Едно денонощие след засичане на атаката Mozilla пусна кръпка за своя браузър.
Същевременно, Самуел Грос, експерт в Google Project Zero, съобщи, че е открил уязвимостта още в средата на април т.г. и, че кръпките за нея са започнали да излизат преди една седмица в публичните бета версии на Firefox.
Що се отнася до браузъра Tor, който стъпва на кода на Firefox, уязвимостта не засяга потребители, които използват режими на повишена и максимална сигурност (Safer/Safest). За останалите потребители са налични актуализация на браузъра 8.5.2 и разширение NoScript 10.6.3, което неутрализира уязвимостта.
1 коментар
Каквото и да направят, FF е пълен траш!