Gisteren een van onze collega's meldde een aantal gevonden bugs die van invloed zijn op alle versies van Firefox omdat er is een zero day-kwetsbaarheid ontdekt in de browser en wordt actief uitgebuit bij gerichte aanvallen. De inbreuk op de beveiliging werd onthuld door Google's Project Zero en heeft betrekking op alle versies van Firefox.
Nu een dag later vraagt Mozilla opnieuw aan alle browsergebruikers om opnieuw te updaten naar een nieuwe superieure versie die al is uitgebracht, dit met als reden dat er een second zero day-kwetsbaarheid in de browser werd ontdekt.
Een tweede zero-day-bug in Firefox
Mozilla heeft Firefox 67.0.4 uitgebracht om een kwetsbaarheid op te lossen beveiliging die is gebruikt bij gerichte aanvallen op cryptocurrency-bedrijven zoals Coinbase. Firefox-gebruikers moeten deze update onmiddellijk installeren.
Bevindt zich achter Firefox 67.0.3 en 60.7.1, Er zijn aanvullende corrigerende versies 67.0.4 en 60.7.2 uitgebracht, waarmee de second zero day-kwetsbaarheid (CVE-2019-11708) is geëlimineerd, waardoor het isolatiemechanisme van de browsersandbox kan worden omzeild.
Het probleem maakt het mogelijk om het opdrachtverzoek te gebruiken om de manipulatie van IPC-oproepen te openen om webcontent te openen in een onderliggend proces dat geen sandbox gebruikt.
Gecombineerd met een andere kwetsbaarheid, Met dit probleem kunt u alle beschermingsniveaus en de uitvoering van de code in het systeem organiseren.
Voordat u wordt gerepareerd, de kwetsbaarheden die zijn geïdentificeerd in de laatste twee versies van Firefox Ze werden gebruikt om een aanval uit te voeren op medewerkers van cryptocurrency exchange Coinbase en werden ook gebruikt om malware te verspreiden voor het macOS-platform.
Onvoldoende verificatie van de parameters die zijn doorgegeven met de prompt: Open IPC-bericht tussen het onderliggende en het bovenliggende proces kan ertoe leiden dat het niet-sandbox-bovenliggende proces de webcontent opent die is gekozen door een gecompromitteerd kindproces. In combinatie met extra kwetsbaarheden kan dit resulteren in het uitvoeren van willekeurige code op de computer van de gebruiker.
Deze week heeft Mozilla Firefox 67.0.3 uitgebracht om een kritieke kwetsbaarheid voor het uitvoeren van externe code op te lossen die werd gebruikt bij gerichte aanvallen.
Sinds de release is ontdekt dat de kwetsbaarheid en een andere onbekende aan elkaar zijn geketend als onderdeel van een spoofing-aanval om kwaadaardige ladingen op de machines van het slachtoffer te verwijderen en uit te voeren.
Er wordt beweerd dat Informatie over de eerste kwetsbaarheid werd naar Mozilla gestuurd door een deelnemer aan Google Project Zero op 15 april en opgelost op 10 juni in de bètaversie van Firefox 68 (de aanvallers hebben waarschijnlijk de gepubliceerde oplossing geanalyseerd en de exploit voorbereid door een andere kwetsbaarheid te gebruiken om sandboxisolatie te voorkomen).
Hoe de Firefox-browser op Linux updaten?
Om de nieuwe correctieversies van de browser naar deze bij te werken en zelfs te installeren als u deze niet hebt, kunt u dit doen door de instructies te volgen die we hieronder delen.
Gebruikers van Ubuntu, Linux Mint of een andere afgeleide van Ubuntu, Ze kunnen deze nieuwe versie installeren of updaten naar deze nieuwe versie met behulp van de PPA van de browser.
Dit kan aan het systeem worden toegevoegd door een terminal te openen en de volgende opdracht daarin uit te voeren:
sudo add-apt-repository ppa:ubuntu-mozilla-security/ppa -y sudo apt-get update
Als ze dit nu hebben gedaan, hoeven ze alleen maar te installeren met:
sudo apt install firefox
naar alle andere Linux-distributies kunnen de binaire pakketten downloaden van de volgende link.
Of controleer of de nieuwe versie al is opgenomen in de repositories van je distro.
Een andere manier om de browser bij te werken De nieuwste versie is door de browser te openen, hier kunnen gebruikers handmatig zoeken naar nieuwe updates in het Firefox-menu -> Help -> Over Firefox. Firefox zal automatisch controleren of er een nieuwe update is en deze installeren.
ook Firefox-bugfix wordt verwacht voor de tweede nuldagfout ontdekt klik op de Tor-browser in de komende dagen.
Sinds vandaag is het Tor Browser-team bijgewerkt naar versie 8.5.2, die de oplossing bevat voor de eerste zero-day-fout die werd gedetecteerd in de Firefox-tak.