Ο Firefox 111 διορθώνει 11 τρύπες, αλλά όχι 1 zero-day μεταξύ αυτών…

Έχετε ακούσει για το κρίκετ (το άθλημα, όχι το έντομο);

Μοιάζει πολύ με το μπέιζμπολ, εκτός από το ότι οι μπαταρίες μπορούν να χτυπήσουν την μπάλα όπου θέλουν, συμπεριλαμβανομένων προς τα πίσω ή προς τα πλάγια. Οι μπόουλερ μπορούν να χτυπήσουν το κτύπημα με την μπάλα επίτηδες (εντός ορισμένων ορίων ασφαλείας, φυσικά – απλά δεν θα ήταν κρίκετ διαφορετικά) χωρίς να ξεκινήσουν μια συμπλοκή 20 λεπτών. Υπάρχει σχεδόν πάντα ένα διάλειμμα στη μέση του απογεύματος για τσάι και κέικ. και μπορείτε να σημειώσετε έξι σερί τη φορά, αρκεί να χτυπήσετε τη μπάλα ψηλά και αρκετά μακριά (επτά αν ο σφαιριστής κάνει επίσης λάθος).

Λοιπόν, όπως γνωρίζουν οι λάτρεις του κρίκετ, τα 111 τρεξίματα είναι μια δεισιδαιμονική βαθμολογία, η οποία θεωρείται δυσοίωνη από πολλούς – το ισοδύναμο του κρίκετ Μάκβεθ σε έναν ηθοποιό.

Είναι γνωστό ως α Nelson, αν και κανείς δεν φαίνεται να ξέρει πραγματικά γιατί.

Σήμερα, λοιπόν, βλέπουμε την έκδοση Nelson του Firefox, με την έκδοση 111.0 να κυκλοφορεί, αλλά δεν φαίνεται να υπάρχει κάτι δυσάρεστο σε αυτήν.

Έντεκα μεμονωμένα μπαλώματα και δύο παρτίδες μπαλωμάτων

Ως συνήθως, υπάρχουν πολλές ενημερώσεις κώδικα ασφαλείας στην ενημέρωση, συμπεριλαμβανομένων των συνηθισμένων αριθμών ευπάθειας Combo-CVE του Mozilla για δυνητικά εκμεταλλεύσιμα σφάλματα που εντοπίστηκαν αυτόματα και διορθώθηκαν χωρίς να περιμένουμε να δούμε αν ήταν δυνατή η εκμετάλλευση απόδειξης της ιδέας (PoC):

• CVE-2023-28176: Διορθώθηκαν σφάλματα ασφάλειας μνήμης σε Firefox 111 και Firefox ESR 102.9. Αυτά τα σφάλματα κοινοποιήθηκαν μεταξύ της τρέχουσας έκδοσης (η οποία περιλαμβάνει νέες δυνατότητες) και της έκδοσης ESR, συντομογραφία του εκτεταμένη απελευθέρωση υποστήριξης (Εφαρμόστηκαν διορθώσεις ασφαλείας, αλλά με νέες δυνατότητες παγωμένες από την έκδοση 102, εννέα εκδόσεις πριν).
• CVE-2023-28177: Τα σφάλματα ασφαλείας της μνήμης επιδιορθώθηκαν μόνο στο Firefox 111. Αυτά τα σφάλματα σχεδόν σίγουρα υπάρχουν μόνο σε νέο κώδικα που έφερε νέες δυνατότητες, δεδομένου ότι δεν εμφανίζονταν στην παλαιότερη βάση κωδικών ESR.

Αυτοί οι σάκοι με σφάλματα έχουν βαθμολογηθεί Ψηλά αντί Κρίσιμος.

Η Mozilla παραδέχεται ότι «υποθέτουμε ότι με αρκετή προσπάθεια μερικά από αυτά θα μπορούσαν να έχουν εκμεταλλευτεί για την εκτέλεση αυθαίρετου κώδικα», αλλά κανείς δεν έχει καταλάβει ακόμη πώς να το κάνει, ή ακόμα και αν τέτοιου είδους εκμεταλλεύσεις είναι εφικτές.

Κανένα από τα άλλα έντεκα σφάλματα με αριθμό CVE αυτόν τον μήνα δεν ήταν χειρότερο από αυτό Ψηλά; Τρεις από αυτές ισχύουν για Firefox μόνο για Android. και κανείς δεν έχει βρει ακόμα (μέχρι στιγμής που γνωρίζουμε) ένα PoC exploit που δείχνει πώς να τα καταχραστεί κανείς στην πραγματική ζωή.

Δύο ιδιαίτερα ενδιαφέρουσες ευπάθειες εμφανίζονται μεταξύ των 11, και συγκεκριμένα:

• CVE-2023-28161: Τα εφάπαξ δικαιώματα που χορηγήθηκαν σε ένα τοπικό αρχείο επεκτάθηκαν και σε άλλα τοπικά αρχεία που φορτώθηκαν στην ίδια καρτέλα. Με αυτό το σφάλμα, εάν ανοίξατε ένα τοπικό αρχείο (όπως περιεχόμενο HTML που έχετε λάβει) που ήθελε πρόσβαση, ας πούμε, στην κάμερα web, τότε οποιοδήποτε άλλο τοπικό αρχείο που ανοίξατε μετά θα κληρονομούσε ως δια μαγείας αυτό το δικαίωμα πρόσβασης χωρίς να σας ρωτήσει. Όπως σημείωσε η Mozilla, αυτό θα μπορούσε να προκαλέσει προβλήματα αν κοιτάζατε μέσα από μια συλλογή στοιχείων στον κατάλογο λήψεών σας – οι προειδοποιήσεις δικαιωμάτων πρόσβασης που θα βλέπετε θα εξαρτώνται από τη σειρά με την οποία ανοίγατε τα αρχεία.
• CVE-2023-28163: Τα Windows Save As επιλύθηκαν μεταβλητές περιβάλλοντος διαλόγου. Αυτή είναι μια άλλη έντονη υπενθύμιση απολυμάνετε τις εισροές σας, όπως μας αρέσει να λέμε. Στις εντολές των Windows, ορισμένες ακολουθίες χαρακτήρων αντιμετωπίζονται ειδικά, όπως π.χ %USERNAME%, το οποίο μετατρέπεται στο όνομα του τρέχοντος συνδεδεμένου χρήστη ή %PUBLIC%, που υποδηλώνει έναν κοινόχρηστο κατάλογο, συνήθως σε C:Users. Ένας ύπουλος ιστότοπος θα μπορούσε να το χρησιμοποιήσει ως έναν τρόπο για να σας ξεγελάσει ώστε να δείτε και να εγκρίνετε τη λήψη ενός ονόματος αρχείου που φαίνεται ακίνδυνο αλλά βρίσκεται σε έναν κατάλογο που δεν θα περιμένατε (και όπου μπορεί αργότερα να μην καταλάβετε ότι είχε καταλήξει).

Τι να κάνω;

Οι περισσότεροι χρήστες του Firefox θα λάβουν την ενημέρωση αυτόματα, συνήθως μετά από μια τυχαία καθυστέρηση για να σταματήσει η λήψη του υπολογιστή όλων την ίδια στιγμή…

…αλλά μπορείτε να αποφύγετε την αναμονή χρησιμοποιώντας χειροκίνητα Βοήθεια > Σχετικά (Ή Firefox > Σχετικά με τον Firefox σε Mac) σε φορητό υπολογιστή ή επιβάλλοντας μια ενημέρωση App Store ή Google Play σε μια κινητή συσκευή.

(Εάν είστε χρήστης Linux και ο Firefox παρέχεται από τον κατασκευαστή της διανομής σας, κάντε μια ενημέρωση συστήματος για να ελέγξετε τη διαθεσιμότητα της νέας έκδοσης.)

• SEO Powered Content & PR Distribution. Ενισχύστε σήμερα.
• Platoblockchain. Web3 Metaverse Intelligence. Ενισχύθηκε η γνώση. Πρόσβαση εδώ.
• πηγή: https://nakedsecurity.sophos.com/2023/03/14/firefox-111-patches-11-holes-but-not-1-zero-day-among-them/