Firefox 111은 11개의 구멍을 패치하지만 그중 제로데이는 하나도 없습니다…

크리켓(곤충이 아닌 스포츠)에 대해 들어보셨나요?

야구와 매우 흡사하지만, 타자는 뒤로 또는 옆으로 포함하여 원하는 곳 어디에서나 공을 칠 수 있습니다. 볼러는 20분간의 올인 난투를 시작하지 않고 일부러 공으로 타자를 칠 수 있습니다(물론 특정 안전 제한 내에서 – 그렇지 않으면 크리켓이 아닐 것입니다). 차와 케이크를 위해 거의 항상 오후 중간에 휴식이 있습니다. 공을 충분히 높이 멀리 치기만 하면 한 번에 XNUMX점을 득점할 수 있습니다(볼러도 실수를 하면 XNUMX점).

글쎄요, 크리켓 애호가들이 알고 있듯이 111점은 미신적인 점수이며 많은 사람들이 불길한 것으로 간주합니다. 맥베스 배우에게.

그것은로 알려진 Nelson, 아무도 실제로 이유를 모르는 것 같지만.

따라서 오늘 버전 111.0이 나오는 Firefox의 Nelson 릴리스를 볼 수 있지만 이것에 대해 불길한 점은 없는 것 같습니다.

XNUMX개의 개별 패치 및 XNUMX개의 패치 배치

늘 그렇듯이 업데이트에는 PoC(개념 증명) 악용이 가능한지 확인하기 위해 기다리지 않고 자동으로 발견되고 패치된 잠재적으로 악용 가능한 버그에 대한 Mozilla의 일반적인 콤보-CVE 취약점 번호를 포함하여 수많은 보안 패치가 있습니다.

• CVE-2023-28176 : Firefox 111 및 Firefox ESR 102.9에서 메모리 안전 버그가 수정되었습니다. 이러한 버그는 현재 버전(새로운 기능 포함)과 ESR 버전 간에 공유되었습니다. 확장 지원 릴리스 (보안 수정 사항이 적용되었지만 102개 릴리스 이전인 버전 XNUMX 이후로 새로운 기능이 동결됨).
• CVE-2023-28177 : 메모리 안전 버그는 Firefox 111에서만 수정되었습니다. 이러한 버그는 이전 ESR 코드베이스에 나타나지 않았기 때문에 새로운 기능을 도입한 새 코드에만 존재하는 것이 거의 확실합니다.

이 백 오브 버그는 등급이 매겨졌습니다. 높은 보다는 결정적인.

Mozilla는 "충분한 노력을 기울이면 이들 중 일부가 임의의 코드를 실행하는 데 악용될 수 있다고 가정합니다"라고 인정하지만 아무도 그렇게 하는 방법을 알아내지 못했으며 그러한 악용이 실현 가능한 경우에도 마찬가지입니다.

이번 달에 발견된 다른 XNUMX개의 CVE 번호 버그는 그 어느 것도 이보다 더 나빴습니다. 높은; 그 중 XNUMX개는 Android용 Firefox에만 적용됩니다. 그리고 아직 (아직까지 우리가 아는 한) 아무도 실제 생활에서 어떻게 남용하는지 보여주는 PoC 익스플로잇을 제시하지 못했습니다.

11개 취약점 중 눈에 띄게 흥미로운 두 가지 취약점이 나타납니다.

• CVE-2023-28161 : 로컬 파일에 부여된 일회성 권한이 동일한 탭에 로드된 다른 로컬 파일로 확장되었습니다. 이 버그로 인해 웹캠에 액세스하려는 로컬 파일(예: 다운로드한 HTML 콘텐츠)을 열면 이후에 연 다른 로컬 파일이 사용자에게 묻지 않고 마법처럼 해당 액세스 권한을 상속합니다. Mozilla가 지적한 바와 같이 다운로드 디렉토리에 있는 항목 모음을 살펴보는 경우 문제가 발생할 수 있습니다. 표시되는 액세스 권한 경고는 파일을 연 순서에 따라 다릅니다.
• CVE-2023-28163 : Windows 다른 이름으로 저장 대화 상자에서 환경 변수를 확인했습니다. 이것은 또 다른 예리한 알림입니다. 당신의 입력을 소독, 우리가 말하고 싶은대로. Windows 명령에서 일부 문자 시퀀스는 다음과 같이 특별하게 처리됩니다. %USERNAME%, 현재 로그온한 사용자의 이름으로 변환되거나 %PUBLIC%, 일반적으로 공유 디렉토리를 나타냅니다. C:Users. 교활한 웹 사이트는 이를 통해 무해해 보이지만 예상하지 못한 디렉토리에 있는 파일 이름의 다운로드를 보고 승인하도록 속이는 방법으로 사용할 수 있습니다.

무엇을해야 하는가?

대부분의 Firefox 사용자는 일반적으로 동시에 모든 사람의 컴퓨터 다운로드를 중지하기 위해 임의의 지연 후에 자동으로 업데이트를 받습니다.

...하지만 수동으로 사용하여 대기를 피할 수 있습니다. 도움말 > 소개 (또는 파이어 폭스 > 파이어 폭스 소개 Mac에서) 노트북에서 또는 모바일 장치에서 App Store 또는 Google Play 업데이트를 강제 실행합니다.

(리눅스 사용자이고 배포판 제조업체에서 Firefox를 제공하는 경우 시스템 업데이트를 수행하여 새 버전이 있는지 확인하십시오.)

• SEO 기반 콘텐츠 및 PR 배포. 오늘 증폭하십시오.
• 플라토 블록체인. Web3 메타버스 인텔리전스. 지식 증폭. 여기에서 액세스하십시오.
• 출처: https://nakedsecurity.sophos.com/2023/03/14/firefox-111-patches-11-holes-but-not-1-zero-day-among-them/