Firefox 111 parchea 11 agujeros, pero no 1 de día cero entre ellos...

¿Has oído hablar del cricket (el deporte, no el insecto)?

Es muy parecido al béisbol, excepto que los bateadores pueden golpear la pelota donde quieran, incluso hacia atrás o hacia los lados; los jugadores de bolos pueden golpear al bateador con la pelota a propósito (dentro de ciertos límites de seguridad, por supuesto; de lo contrario, no sería cricket) sin iniciar una pelea con todo adentro de 20 minutos; casi siempre hay un descanso a media tarde para tomar un té y un pastel; y puede anotar seis carreras a la vez siempre que golpee la pelota lo suficientemente alto y lejos (siete si el jugador de bolos también comete un error).

Bueno, como saben los entusiastas del críquet, 111 carreras es un puntaje supersticioso, considerado por muchos como poco auspicioso: el equivalente para los jugadores de críquet de Macbeth a un actor

es conocido como un Nelson, aunque en realidad nadie parece saber por qué.

Por lo tanto, hoy ve el lanzamiento de Nelson de Firefox, con la versión 111.0 saliendo, pero no parece haber nada desfavorable en este.

Once parches individuales y dos lotes de parches

Como de costumbre, hay numerosos parches de seguridad en la actualización, incluidos los números de vulnerabilidad combo-CVE habituales de Mozilla para errores potencialmente explotables que se encontraron automáticamente y se parchearon sin esperar a ver si era posible un exploit de prueba de concepto (PoC):

• CVE-2023-28176: Errores de seguridad de la memoria corregidos en Firefox 111 y Firefox ESR 102.9. Estos errores se compartieron entre la versión actual (que incluye nuevas funciones) y la versión ESR, abreviatura de lanzamiento de soporte extendido (correcciones de seguridad aplicadas, pero con nuevas funciones congeladas desde la versión 102, hace nueve versiones).
• CVE-2023-28177: Errores de seguridad de la memoria corregidos solo en Firefox 111. Es casi seguro que estos errores solo existen en el código nuevo que incorporó nuevas funciones, dado que no aparecieron en el código base de ESR anterior.

Estas bolsas de errores han sido calificadas Alta más bien que Critical.

Mozilla admite que "suponemos que con suficiente esfuerzo algunos de estos podrían haber sido explotados para ejecutar código arbitrario", pero nadie ha descubierto aún cómo hacerlo, o incluso si tales explotaciones son factibles.

Ninguno de los otros once errores numerados CVE este mes fue peor que Alta; tres de ellos se aplican solo a Firefox para Android; y nadie ha ideado todavía (hasta donde sabemos) un exploit PoC que muestre cómo abusar de ellos en la vida real.

Dos vulnerabilidades notablemente interesantes aparecen entre las 11, a saber:

• CVE-2023-28161: Los permisos únicos otorgados a un archivo local se extendieron a otros archivos locales cargados en la misma pestaña. Con este error, si abría un archivo local (como contenido HTML descargado) que quería acceder, por ejemplo, a su cámara web, cualquier otro archivo local que abriera después heredaría mágicamente ese permiso de acceso sin preguntarle. Como señaló Mozilla, esto podría ocasionar problemas si estuviera revisando una colección de elementos en su directorio de descarga: las advertencias de permiso de acceso que vería dependerían del orden en que abrió los archivos.
• CVE-2023-28163: El cuadro de diálogo Guardar como de Windows resolvió las variables de entorno. Este es otro profundo recordatorio para desinfecta tus entradas, como nos gusta decir. En los comandos de Windows, algunas secuencias de caracteres se tratan de forma especial, como %USERNAME%, que se convierte al nombre del usuario actualmente conectado, o %PUBLIC%, que denota un directorio compartido, generalmente en C:Users. Un sitio web furtivo podría usar esto como una forma de engañarlo para que vea y apruebe la descarga de un nombre de archivo que parece inofensivo pero que aterriza en un directorio que no esperaría (y donde es posible que luego no se dé cuenta de que terminó).

¿Qué hacer?

La mayoría de los usuarios de Firefox obtendrán la actualización automáticamente, generalmente después de un retraso aleatorio para detener la descarga de la computadora de todos al mismo tiempo...

…pero puedes evitar la espera usando manualmente Ayuda > Sobre (o Firefox > Acerca de Firefox en una Mac) en una computadora portátil, o forzando una actualización de App Store o Google Play en un dispositivo móvil.

(Si es un usuario de Linux y el fabricante de su distribución proporciona Firefox, realice una actualización del sistema para verificar la disponibilidad de la nueva versión).

• Distribución de relaciones públicas y contenido potenciado por SEO. Consiga amplificado hoy.
• Platoblockchain. Inteligencia del Metaverso Web3. Conocimiento amplificado. Accede Aquí.
• Fuente: https://nakedsecurity.sophos.com/2023/03/14/firefox-111-patches-11-holes-but-not-1-zero-day-among-them/