Firefox 111 łata 11 dziur, ale nie ma wśród nich 1 dnia zerowego…

Firefox 111 łata 11 dziur, ale nie ma wśród nich 1 dnia zerowego…

Znacznik czasu: 14 marca 2023 1:16
Węzeł źródłowy: 2009307
by Paweł Kaczor

Słyszałeś o krykiecie (sporcie, a nie owadach)?

To bardzo przypomina baseball, z wyjątkiem tego, że pałkarze mogą uderzać piłkę, gdzie chcą, w tym do tyłu lub na boki; meloniki mogą celowo uderzać pałkarza piłką (oczywiście w pewnych granicach bezpieczeństwa – inaczej nie byłoby to po prostu krykietem) bez rozpoczynania 20-minutowej bójki all-in; prawie zawsze jest przerwa w środku popołudnia na herbatę i ciasto; i możesz zdobyć sześć obiegów na raz, o ile uderzysz piłkę wysoko i wystarczająco daleko (siedem, jeśli melonik również popełni błąd).

Cóż, jak wiedzą miłośnicy krykieta, 111 przebiegów to przesądny wynik, przez wielu uważany za niepomyślny – odpowiednik gry w krykieta Macbeth do aktora.

Jest znany jako Nelson, chociaż wydaje się, że nikt tak naprawdę nie wie, dlaczego.

W związku z tym dzisiaj wydano Firefoksa Nelson, wraz z wersją 111.0, ale nie wydaje się, aby było w tym coś niepomyślnego.

Jedenaście pojedynczych łatek i dwie partie łatek

Jak zwykle, w aktualizacji znajduje się wiele poprawek bezpieczeństwa, w tym typowe dla Mozilli numery luk w zabezpieczeniach typu combo-CVE dla potencjalnie możliwych do wykorzystania błędów, które zostały znalezione automatycznie i załatane bez czekania na sprawdzenie, czy exploit typu proof-of-concept (PoC) był możliwy:

  • CVE-2023-28176: Naprawiono błędy bezpieczeństwa pamięci w przeglądarkach Firefox 111 i Firefox ESR 102.9. Te błędy były wspólne dla bieżącej wersji (która zawiera nowe funkcje) i wersji ESR, skrót od rozszerzona wersja wsparcia (zastosowano poprawki bezpieczeństwa, ale nowe funkcje zostały zamrożone od wersji 102, dziewięć wydań temu).
  • CVE-2023-28177: Naprawiono błędy bezpieczeństwa pamięci tylko w Firefoksie 111. Te błędy prawie na pewno występują tylko w nowym kodzie, który przyniósł nowe funkcje, biorąc pod uwagę, że nie pojawiły się one w starszej bazie kodu ESR.

Te worki robaków zostały ocenione Wysoki zamiast Krytyczny.

Mozilla przyznaje, że „przypuszczamy, że przy wystarczającym wysiłku niektóre z nich mogłyby zostać wykorzystane do uruchomienia dowolnego kodu”, ale nikt jeszcze nie wymyślił, jak to zrobić, ani nawet czy takie exploity są wykonalne.

Żaden z pozostałych jedenastu błędów oznaczonych numerem CVE w tym miesiącu nie był gorszy Wysoki; trzy z nich dotyczą tylko Firefoksa dla Androida; i nikt jeszcze (o ile jeszcze wiemy) nie wymyślił exploita PoC, który pokazuje, jak wykorzystywać je w prawdziwym życiu.

Wśród 11 pojawiają się dwie szczególnie interesujące luki, a mianowicie:

  • CVE-2023-28161: Jednorazowe uprawnienia przyznane plikowi lokalnemu zostały rozszerzone na inne pliki lokalne ładowane na tej samej karcie. W przypadku tego błędu, jeśli otworzyłeś plik lokalny (taki jak pobrana zawartość HTML), który chciał uzyskać dostęp, powiedzmy, do twojej kamery internetowej, to każdy inny plik lokalny, który później otworzyłeś, magicznie odziedziczyłby to uprawnienie dostępu bez pytania. Jak zauważyła Mozilla, może to prowadzić do kłopotów, jeśli przeglądasz kolekcję elementów w katalogu pobierania — ostrzeżenia o uprawnieniach dostępu, które zobaczysz, będą zależały od kolejności otwierania plików.
  • CVE-2023-28163: Okno dialogowe Zapisz jako systemu Windows rozwiązało zmienne środowiskowe. To kolejne ważne przypomnienie oczyść swoje dane wejściowe, jak lubimy mówić. W poleceniach systemu Windows niektóre sekwencje znaków są traktowane w specjalny sposób, np %USERNAME%, która jest konwertowana na nazwę aktualnie zalogowanego użytkownika, lub %PUBLIC%, który oznacza udostępniony katalog, zwykle w C:Users. Podstępna witryna internetowa może to wykorzystać jako sposób na nakłonienie Cię do zobaczenia i zatwierdzenia pobrania pliku o nazwie, która wygląda nieszkodliwie, ale ląduje w katalogu, którego byś się nie spodziewał (i gdzie możesz później nie zdać sobie sprawy, że się tam znalazł).

Co robić?

Większość użytkowników Firefoksa otrzyma aktualizację automatycznie, zwykle po losowym opóźnieniu, aby zatrzymać pobieranie wszystkich komputerów w tym samym momencie…

… ale możesz uniknąć czekania, używając ręcznie Pomoc > O nas (lub Firefox > O programie Firefox na komputerze Mac) na laptopie lub wymuszając aktualizację App Store lub Google Play na urządzeniu mobilnym.

(Jeśli jesteś użytkownikiem Linuksa, a Firefox jest dostarczany przez twórcę Twojej dystrybucji, przeprowadź aktualizację systemu, aby sprawdzić dostępność nowej wersji).

Znak czasu:

Więcej z Nagie bezpieczeństwo