Firefox 111 แพตช์ 11 ช่องโหว่ แต่ไม่ใช่ 1 Zero-day ในหมู่พวกเขา...

Firefox 111 แพตช์ 11 ช่องโหว่ แต่ไม่ใช่ 1 Zero-day ในหมู่พวกเขา...

ประทับเวลา: 14 มีนาคม 2023 1:16 น
โหนดต้นทาง: 2009307
by พอล ดั๊กลิน

เคยได้ยินเรื่องจิ้งหรีด (กีฬา ไม่ใช่แมลง) ไหม?

มันเหมือนกับเบสบอลมาก เว้นแต่ว่าผู้ตีสามารถตีลูกได้ทุกที่ที่ต้องการ รวมทั้งไปด้านหลังหรือด้านข้าง เลอร์สสามารถตีแบทเทอร์ด้วยลูกบอลได้ตามเจตนา (ภายในขอบเขตความปลอดภัยแน่นอน – อย่างอื่นไม่ใช่คริกเก็ต) โดยไม่ต้องเริ่มการทะเลาะวิวาททั้งหมด 20 นาที มักจะมีการพักดื่มชาและเค้กในช่วงบ่ายเกือบตลอดเวลา และคุณสามารถทำคะแนนได้ XNUMX ครั้งต่อครั้ง ตราบใดที่คุณตีลูกให้สูงและไกลพอ (แม้ว่าคนขว้างจะทำพลาดก็ตาม)

อย่างที่ผู้ชื่นชอบกีฬาคริกเก็ตทราบดี การวิ่ง 111 ครั้งเป็นคะแนนที่เชื่อโชคลาง ซึ่งหลายคนมองว่าไม่เป็นมงคล – เทียบเท่ากับนักคริกเก็ต ก็อตแลนด์ ถึงนักแสดง

เป็นที่รู้จักกันว่าเป็น เนลสันแม้ว่าจะไม่มีใครรู้ว่าทำไม

วันนี้จึงเห็นการเปิดตัว Nelson ของ Firefox โดยมีเวอร์ชัน 111.0 ออกมา แต่ดูเหมือนว่าจะไม่มีอะไรที่เป็นมงคลเกี่ยวกับตัวนี้

แพตช์เดี่ยว XNUMX แพตช์ และแพตช์ XNUMX ชุด

ตามปกติ มีแพตช์ความปลอดภัยจำนวนมากในการอัปเดต รวมถึงหมายเลขช่องโหว่ combo-CVE ตามปกติของ Mozilla สำหรับบั๊กที่อาจใช้ประโยชน์ได้ ซึ่งพบโดยอัตโนมัติและแพตช์โดยไม่ต้องรอเพื่อดูว่าสามารถใช้ประโยชน์จากการพิสูจน์แนวคิด (PoC) ได้หรือไม่:

  • CVE-2023-28176: แก้ไขข้อบกพร่องด้านความปลอดภัยของหน่วยความจำใน Firefox 111 และ Firefox ESR 102.9 จุดบกพร่องเหล่านี้ถูกแชร์ระหว่างเวอร์ชันปัจจุบัน (ซึ่งมีฟีเจอร์ใหม่) และเวอร์ชัน ESR ซึ่งย่อมาจาก การเปิดตัวการสนับสนุนเพิ่มเติม (ใช้การแก้ไขด้านความปลอดภัย แต่ด้วยคุณสมบัติใหม่ที่ถูกระงับตั้งแต่เวอร์ชัน 102 เก้ารุ่นที่ผ่านมา)
  • CVE-2023-28177: แก้ไขข้อบกพร่องด้านความปลอดภัยของหน่วยความจำใน Firefox 111 เท่านั้น จุดบกพร่องเหล่านี้เกือบจะมีอยู่เฉพาะในโค้ดใหม่ที่นำฟีเจอร์ใหม่เข้ามา เนื่องจากไม่ปรากฏในโค้ดเบส ESR รุ่นเก่า

ถุงแมลงเหล่านี้ได้รับการจัดอันดับ จุดสูง มากกว่า วิกฤต.

Mozilla ยอมรับว่า “เราคิดว่าด้วยความพยายามมากพอ สิ่งเหล่านี้บางส่วนอาจถูกนำไปใช้เพื่อรันโค้ดโดยอำเภอใจได้” แต่ยังไม่มีใครรู้ว่าจะต้องทำอย่างไร หรือแม้แต่การแสวงประโยชน์ดังกล่าวจะเป็นไปได้หรือไม่

ไม่มีบั๊กที่มีหมายเลข CVE อีก XNUMX รายการในเดือนนี้ที่แย่ไปกว่านั้น จุดสูง; สามคนใช้กับ Firefox สำหรับ Android เท่านั้น; และยังไม่มีใคร (เท่าที่เรายังรู้) คิดหาประโยชน์จาก PoC ที่แสดงวิธีการล่วงละเมิดพวกเขาในชีวิตจริง

ช่องโหว่ที่น่าสนใจ 11 รายการปรากฏขึ้นใน XNUMX รายการ ได้แก่:

  • CVE-2023-28161: สิทธิ์เพียงครั้งเดียวที่ให้กับไฟล์ในเครื่องได้ขยายไปยังไฟล์ในเครื่องอื่นๆ ที่โหลดในแท็บเดียวกัน ด้วยข้อบกพร่องนี้ หากคุณเปิดไฟล์ในเครื่อง (เช่น เนื้อหา HTML ที่ดาวน์โหลด) ซึ่งต้องการเข้าถึง เช่น เว็บแคมของคุณ ไฟล์ในเครื่องอื่นๆ ที่คุณเปิดหลังจากนั้นจะสืบทอดสิทธิ์การเข้าถึงนั้นอย่างน่าอัศจรรย์โดยไม่ต้องถามคุณ ดังที่ Mozilla ระบุไว้ สิ่งนี้อาจนำไปสู่ปัญหาหากคุณกำลังดูคอลเลกชันของรายการในไดเร็กทอรีดาวน์โหลดของคุณ คำเตือนสิทธิ์การเข้าถึงที่คุณเห็นจะขึ้นอยู่กับลำดับที่คุณเปิดไฟล์
  • CVE-2023-28163: Windows บันทึกเป็นกล่องโต้ตอบแก้ไขตัวแปรสภาพแวดล้อม นี่เป็นอีกหนึ่งเครื่องเตือนใจที่กระตือรือร้น ฆ่าเชื้ออินพุตของคุณอย่างที่เราชอบพูดกัน ในคำสั่ง Windows ลำดับอักขระบางตัวจะได้รับการปฏิบัติเป็นพิเศษ เช่น %USERNAME%ซึ่งจะแปลงเป็นชื่อของผู้ใช้ที่เข้าสู่ระบบในปัจจุบัน หรือ %PUBLIC%ซึ่งหมายถึงไดเร็กทอรีที่ใช้ร่วมกัน โดยปกติจะเป็น C:Users. เว็บไซต์ลับ ๆ ล่อ ๆ อาจใช้วิธีนี้หลอกให้คุณดูและอนุมัติการดาวน์โหลดไฟล์ที่ดูไม่เป็นอันตรายแต่ไปอยู่ในไดเร็กทอรีที่คุณคาดไม่ถึง (และคุณอาจไม่รู้ตัวในภายหลังว่าไฟล์นั้นจบลงแล้ว)

จะทำอย่างไร?

ผู้ใช้ Firefox ส่วนใหญ่จะได้รับการอัปเดตโดยอัตโนมัติ โดยปกติแล้วจะมีการหน่วงเวลาแบบสุ่มเพื่อหยุดการดาวน์โหลดคอมพิวเตอร์ของทุกคนในเวลาเดียวกัน...

…แต่คุณสามารถหลีกเลี่ยงการรอได้โดยการใช้ด้วยตนเอง การช่วยเหลือ > เกี่ยวกับเรา (หรือ Firefox > เกี่ยวกับ Firefox บน Mac) บนแล็ปท็อป หรือบังคับให้อัปเดต App Store หรือ Google Play บนอุปกรณ์เคลื่อนที่

(หากคุณเป็นผู้ใช้ Linux และผู้สร้าง distro เป็นผู้จัดหา Firefox ให้อัปเดตระบบเพื่อตรวจสอบความพร้อมใช้งานของเวอร์ชันใหม่)

ประทับเวลา:

เพิ่มเติมจาก ความปลอดภัยเปล่า