فایرفاکس 111 11 حفره را اصلاح می کند، اما نه 1 روز صفر در میان آنها…

درباره کریکت (ورزش، نه حشره) شنیده اید؟

این بسیار شبیه بیسبال است، با این تفاوت که ضربه‌زنان می‌توانند به هر کجا که دوست دارند، از جمله به عقب یا به پهلو، توپ را بزنند. بولرها می توانند عمداً با توپ ضربه ای بزنند (البته با محدودیت های ایمنی خاص - در غیر این صورت کریکت نمی توانست باشد) بدون شروع یک نزاع همه جانبه 20 دقیقه ای. تقریباً همیشه در اواسط بعد از ظهر یک استراحت برای چای و کیک وجود دارد. و شما می توانید شش ران در یک زمان به دست بیاورید به شرطی که توپ را بلند و به اندازه کافی دور بزنید (هفت اگر توپ گیر نیز اشتباه کند).

خوب، همانطور که علاقه مندان به کریکت می دانند، 111 دوش امتیازی خرافی است که بسیاری آن را نامطلوب می دانند - معادل کریکت مکبث به یک بازیگر

به عنوان یک شناخته می شود نلسون، اگرچه به نظر می رسد هیچ کس واقعاً دلیل آن را نمی داند.

بنابراین امروز شاهد انتشار نلسون فایرفاکس با نسخه 111.0 هستیم، اما به نظر می رسد هیچ چیز بدی در مورد این نسخه وجود نداشته باشد.

یازده تکه تکی، و دو دسته تکه

طبق معمول، وصله‌های امنیتی متعددی در به‌روزرسانی وجود دارد، از جمله اعداد آسیب‌پذیری معمولی ترکیبی-CVE موزیلا برای باگ‌های بالقوه قابل بهره‌برداری که به‌طور خودکار پیدا شده و بدون منتظر ماندن برای مشاهده اینکه آیا سوءاستفاده اثبات مفهوم (PoC) امکان‌پذیر است یا نه، وصله شده‌اند.

• CVE-2023-28176: اشکالات ایمنی حافظه در فایرفاکس 111 و فایرفاکس ESR 102.9 رفع شد. این باگ ها بین نسخه فعلی (که شامل ویژگی های جدید است) و نسخه ESR به اشتراک گذاشته شده است انتشار پشتیبانی گسترده (اصلاحات امنیتی اعمال شد، اما با ویژگی های جدید منجمد شده از نسخه 102، نه نسخه پیش).
• CVE-2023-28177: اشکالات ایمنی حافظه فقط در فایرفاکس 111 رفع شد. این اشکالات تقریباً مطمئناً فقط در کدهای جدیدی وجود دارند که ویژگی‌های جدیدی را به همراه دارند، با توجه به اینکه در پایگاه کدهای ESR قدیمی نشان داده نمی‌شوند.

این کیسه های اشکال رتبه بندی شده اند زیاد به جای بحرانی.

موزیلا اعتراف می‌کند که «فرض می‌کنیم که با تلاش کافی، برخی از این کدها می‌توانستند برای اجرای کد دلخواه مورد سوء استفاده قرار گیرند»، اما هیچ‌کس هنوز متوجه نشده است که چگونه این کار را انجام دهد، یا حتی اگر چنین اکسپلویت‌هایی امکان‌پذیر باشد.

هیچ یک از یازده باگ دیگر با شماره CVE در این ماه بدتر از آن نبودند زیاد; سه مورد از آنها فقط برای فایرفاکس برای اندروید اعمال می شود. و هیچ کس هنوز (تا جایی که ما هنوز می دانیم) یک اکسپلویت PoC ارائه نکرده است که نشان دهد چگونه از آنها در زندگی واقعی سوء استفاده کنیم.

دو آسیب‌پذیری جالب توجه در میان 11 مورد ظاهر می‌شوند، یعنی:

• CVE-2023-28161: مجوزهای یکبار مصرف داده شده به یک فایل محلی به سایر فایل های محلی بارگذاری شده در همان برگه گسترش یافت. با استفاده از این باگ، اگر یک فایل محلی (مانند محتوای دانلود شده HTML) را باز کنید که می‌خواهد مثلاً به وب‌کم شما دسترسی داشته باشد، هر فایل محلی دیگری که بعداً باز می‌کنید، بدون درخواست از شما به طور جادویی مجوز دسترسی را به ارث می‌برد. همانطور که موزیلا اشاره کرد، اگر مجموعه‌ای از آیتم‌ها را در فهرست دانلود خود جستجو می‌کنید، ممکن است منجر به مشکل شود - هشدارهای مجوز دسترسی که مشاهده می‌کنید به ترتیب باز کردن فایل‌ها بستگی دارد.
• CVE-2023-28163: Windows Save As متغیرهای محیطی را حل کرد. این یکی دیگر از یادآوری دقیق است ورودی های خود را ضد عفونی کنیدهمانطور که ما دوست داریم بگوییم. در دستورات ویندوز، برخی از توالی کاراکترها به طور خاص مورد توجه قرار می گیرند، مانند %USERNAME%، که به نام کاربر وارد شده فعلی تبدیل می شود یا %PUBLIC%، که نشان دهنده یک دایرکتوری مشترک است که معمولاً در C:Users. یک وب‌سایت یواشکی می‌تواند از این به عنوان راهی برای فریب شما برای دیدن و تأیید دانلود نام فایلی استفاده کند که به نظر بی‌ضرر می‌رسد اما در فهرستی قرار می‌گیرد که انتظارش را ندارید (و جایی که ممکن است بعداً متوجه نشوید که به پایان رسیده است).

چه کاری انجام دهید؟

اکثر کاربران فایرفاکس به‌روزرسانی را به‌طور خودکار دریافت می‌کنند، معمولاً پس از یک تأخیر تصادفی تا دانلود کامپیوتر همه در همان لحظه متوقف شود…

... اما شما می توانید با استفاده دستی از انتظار جلوگیری کنید کمک > درباره ما (و یا فایرفاکس > درباره Firefox در Mac) روی لپ‌تاپ، یا با اجبار به‌روزرسانی فروشگاه App یا Google Play در دستگاه تلفن همراه.

(اگر کاربر لینوکس هستید و فایرفاکس توسط سازنده توزیع شما ارائه شده است، برای بررسی در دسترس بودن نسخه جدید، سیستم را به روز کنید.)

• محتوای مبتنی بر SEO و توزیع روابط عمومی. امروز تقویت شوید.
• پلاتوبلاک چین. Web3 Metaverse Intelligence. دانش تقویت شده دسترسی به اینجا.
• منبع: https://nakedsecurity.sophos.com/2023/03/14/firefox-111-patches-11-holes-but-not-1-zero-day-among-them/