O Firefox 111 corrige 11 buracos, mas não 1 dia zero entre eles…

Já ouviu falar de críquete (o esporte, não o inseto)?

É muito parecido com o beisebol, exceto que os rebatedores podem acertar a bola onde quiserem, inclusive para trás ou para os lados; os arremessadores podem acertar o batedor com a bola de propósito (dentro de certos limites de segurança, é claro - simplesmente não seria críquete de outra forma) sem iniciar uma briga all-in de 20 minutos; quase sempre há uma pausa no meio da tarde para um chá com bolo; e você pode marcar seis corridas por vez, desde que acerte a bola alto e longe o suficiente (sete se o lançador também cometer um erro).

Bem, como os entusiastas do críquete sabem, 111 corridas é uma pontuação supersticiosa, considerada pouco auspiciosa por muitos - o equivalente do jogador de críquete a Macbeth a um ator.

É conhecido como um Nelson, embora ninguém realmente pareça saber o porquê.

Hoje, portanto, vemos o lançamento do Nelson do Firefox, com a versão 111.0 saindo, mas não parece haver nada de auspicioso sobre este.

Onze patches individuais e dois lotes de patches

Como de costume, existem vários patches de segurança na atualização, incluindo os números de vulnerabilidade combinados CVE da Mozilla para bugs potencialmente exploráveis ​​que foram encontrados automaticamente e corrigidos sem esperar para ver se uma exploração de prova de conceito (PoC) era possível:

• CVE-2023-28176: Erros de segurança de memória corrigidos no Firefox 111 e Firefox ESR 102.9. Esses bugs foram compartilhados entre a versão atual (que inclui novos recursos) e a versão ESR, abreviação de lançamento de suporte estendido (correções de segurança aplicadas, mas com novos recursos congelados desde a versão 102, nove lançamentos atrás).
• CVE-2023-28177: Erros de segurança de memória corrigidos apenas no Firefox 111. Esses bugs quase certamente existem apenas no novo código que trouxe novos recursos, visto que eles não apareceram na base de código ESR mais antiga.

Esses sacos de insetos foram classificados Alta em vez de Crítico.

A Mozilla admite que “presumimos que com esforço suficiente alguns deles poderiam ter sido explorados para executar código arbitrário”, mas ninguém ainda descobriu como fazer isso, ou mesmo se tais explorações são viáveis.

Nenhum dos outros onze bugs numerados CVE este mês foi pior do que Alta; três deles se aplicam apenas ao Firefox para Android; e ninguém ainda (até onde sabemos) criou um exploit PoC que mostre como abusar deles na vida real.

Duas vulnerabilidades notavelmente interessantes aparecem entre as 11, a saber:

• CVE-2023-28161: Permissões únicas concedidas a um arquivo local foram estendidas a outros arquivos locais carregados na mesma guia. Com esse bug, se você abrisse um arquivo local (como conteúdo HTML baixado) que desejasse acessar, digamos, sua webcam, qualquer outro arquivo local que você abrisse depois herdaria magicamente essa permissão de acesso sem pedir a você. Como o Mozilla notou, isso pode causar problemas se você estiver procurando por uma coleção de itens em seu diretório de download – os avisos de permissão de acesso que você veria dependeriam da ordem em que você abriu os arquivos.
• CVE-2023-28163: A caixa de diálogo Salvar como do Windows resolveu variáveis ​​de ambiente. Este é outro lembrete importante para higienize suas entradas, como gostamos de dizer. Nos comandos do Windows, algumas sequências de caracteres são tratadas de forma especial, como %USERNAME%, que é convertido para o nome do usuário conectado no momento, ou %PUBLIC%, que denota um diretório compartilhado, geralmente em C:Users. Um site sorrateiro pode usar isso como uma maneira de induzi-lo a ver e aprovar o download de um nome de arquivo que parece inofensivo, mas cai em um diretório inesperado (e onde você pode não perceber mais tarde que ele foi parar).

O que fazer?

A maioria dos usuários do Firefox receberá a atualização automaticamente, geralmente após um atraso aleatório para interromper o download do computador de todos ao mesmo tempo…

…mas você pode evitar a espera usando manualmente Ajuda > Sobre (ou Firefox > Sobre o Firefox em um Mac) em um laptop ou forçando uma atualização da App Store ou Google Play em um dispositivo móvel.

(Se você for um usuário do Linux e o Firefox for fornecido pelo fabricante da sua distro, faça uma atualização do sistema para verificar a disponibilidade da nova versão.)

• Conteúdo com tecnologia de SEO e distribuição de relações públicas. Seja amplificado hoje.
• Platoblockchain. Inteligência Metaverso Web3. Conhecimento Ampliado. Acesse aqui.
• Fonte: https://nakedsecurity.sophos.com/2023/03/14/firefox-111-patches-11-holes-but-not-1-zero-day-among-them/