Firefox 111, 11 delik yayar, ancak aralarında 1 sıfır gün değil…

Kriketi duydunuz mu (böcek değil spor)?

Vurucuların topa istedikleri yerde, geriye veya yana doğru da dahil olmak üzere vurabilmeleri dışında, beyzbola çok benzer; atıcılar, 20 dakikalık bir all-in kavgası başlatmadan vurucuya kasıtlı olarak topla vurabilirler (tabii ki belirli güvenlik sınırları dahilinde - aksi takdirde kriket olmazdı); neredeyse her zaman öğleden sonra çay ve kek için bir mola verilir; ve topa yeterince yükseğe ve uzağa vurduğunuz sürece bir seferde altı tur atabilirsiniz (atıcı da hata yaparsa yedi).

Kriket tutkunlarının bildiği gibi, 111 koşu, çoğu kişi tarafından uğursuz kabul edilen batıl bir skordur; kriketçinin eşdeğeri. Macbeth bir aktöre.

olarak bilinir Nelson, aslında kimse nedenini bilmiyor gibi görünse de.

Bu nedenle bugün Firefox'un 111.0 sürümüyle birlikte Nelson sürümü çıkıyor, ancak bunda uğursuz bir şey yok gibi görünüyor.

On bir ayrı yama ve iki yama grubu

Her zaman olduğu gibi, güncellemede, Mozilla'nın, bir kavram kanıtı (PoC) istismarının mümkün olup olmadığını görmek için beklemeden otomatik olarak bulunan ve yamalanan potansiyel olarak istismar edilebilir hatalara yönelik birleşik CVE güvenlik açığı numaraları da dahil olmak üzere çok sayıda güvenlik yaması vardır:

• CVE-2023-28176: Firefox 111 ve Firefox ESR 102.9'da bellek güvenliği hataları düzeltildi. Bu hatalar, mevcut sürüm (yeni özellikler içeren) ile ESR sürümü arasında paylaşıldı. genişletilmiş destek sürümü (güvenlik düzeltmeleri uygulandı, ancak dokuz sürüm önceki 102 sürümünden bu yana donmuş yeni özelliklerle).
• CVE-2023-28177: Bellek güvenliği hataları yalnızca Firefox 111'de düzeltildi. Eski ESR kod tabanında görünmedikleri göz önüne alındığında, bu hatalar neredeyse kesinlikle yalnızca yeni özellikler getiren yeni kodda var.

Bu böcek torbaları derecelendirildi Yüksek ziyade Kritik.

Mozilla, "yeterli çabayla bunlardan bazılarının keyfi kod çalıştırmak için kullanıldığını varsayıyoruz" diyor, ancak henüz kimse bunun nasıl yapılacağını veya bu tür istismarların mümkün olup olmadığını çözemedi.

Bu ayki diğer on bir CVE numaralı hatanın hiçbiri daha kötü değildi. Yüksek; bunlardan üçü yalnızca Android için Firefox için geçerlidir; ve henüz hiç kimse (henüz bildiğimiz kadarıyla) gerçek hayatta nasıl kötüye kullanılacağını gösteren bir PoC istismarı bulamadı.

11 güvenlik açığı arasında oldukça ilginç iki güvenlik açığı ortaya çıkıyor:

• CVE-2023-28161: Yerel bir dosyaya verilen tek seferlik izinler, aynı sekmede yüklenen diğer yerel dosyalara genişletildi. Bu hata ile, örneğin web kameranıza erişim isteyen yerel bir dosya (indirilmiş HTML içeriği gibi) açarsanız, daha sonra açtığınız diğer yerel dosyalar sihirli bir şekilde size sormadan bu erişim iznini devralır. Mozilla'nın belirttiği gibi, indirme dizininizdeki bir dizi öğeye bakıyorsanız bu soruna yol açabilir; göreceğiniz erişim izni uyarıları, dosyaları açma sıranıza bağlı olacaktır.
• CVE-2023-28163: Windows Farklı Kaydet iletişim kutusu ortam değişkenlerini çözdü. Bu, başka bir keskin hatırlatma girişlerinizi sterilize edin, söylemek istediğimiz gibi. Windows komutlarında, bazı karakter dizileri özel olarak ele alınır, örneğin: %USERNAME%, o anda oturum açmış olan kullanıcının adına dönüştürülür veya %PUBLIC%, genellikle paylaşılan bir dizini ifade eder C:Users. Sinsi bir web sitesi bunu, zararsız görünen ancak beklemeyeceğiniz bir dizine (ve daha sonra sona erdiğini fark etmeyeceğiniz bir yere) inen bir dosya adının indirilmesini görmeniz ve onaylamanız için sizi kandırmanın bir yolu olarak kullanabilir.

Ne yapalım?

Çoğu Firefox kullanıcısı güncellemeyi otomatik olarak alır, genellikle herkesin bilgisayarının aynı anda indirmesini durdurmak için rastgele bir gecikmeden sonra...

…ancak manuel olarak kullanarak beklemeyi önleyebilirsiniz. Destek > Hakkımızda (Ya da Firefox > Firefox Hakkında Mac'te) bir dizüstü bilgisayarda veya bir mobil cihazda bir App Store veya Google Play güncellemesini zorlayarak.

(Bir Linux kullanıcısıysanız ve Firefox, dağıtımınızın üreticisi tarafından sağlanıyorsa, yeni sürümün olup olmadığını kontrol etmek için bir sistem güncellemesi yapın.)

• SEO Destekli İçerik ve Halkla İlişkiler Dağıtımı. Bugün Gücünüzü Artırın.
• Plato blok zinciri. Web3 Metaverse Zekası. Bilgi Güçlendirildi. Buradan Erişin.
• Kaynak: https://nakedsecurity.sophos.com/2023/03/14/firefox-111-patches-11-holes-but-not-1-zero-day-among-them/