I går en av våre kolleger rapporterte noen funnet feil som påvirker alle versjoner av Firefox fordi en null dagers sårbarhet ble oppdaget i nettleseren og blir aktivt utnyttet i målrettede angrep. Sikkerhetsbruddet ble avslørt gjennom Googles Project Zero og påvirker alle versjoner av Firefox.
Nå en dag senere ber Mozilla igjen alle nettleserbrukere om å oppdatere igjen til en ny overlegen versjon som allerede er utgitt, dette med grunnen til at det ble oppdaget et nytt null dagers sårbarhet i nettleseren.
En annen null dagers feil i Firefox
Mozilla har gitt ut Firefox 67.0.4 for å fikse et sikkerhetsproblem sikkerhet som har blitt brukt i målrettede angrep mot kryptovalutafirmaer som Coinbase. Firefox-brukere bør installere denne oppdateringen umiddelbart.
Ligger bak Firefox 67.0.3 og 60.7.1, Ytterligere korrigerende versjoner 67.0.4 og 60.7.2 ble utgitt, og eliminerte den andre null dagers sårbarheten (CVE-2019-11708), som gjør det mulig å omgå nettleserens sandkasseisoleringsmekanisme.
Problemet gjør det mulig å bruke kommandoforespørselen til å åpne IPC-samtalemanipulering for å åpne nettinnhold i en underordnet prosess som ikke bruker en sandkasse.
Kombinert med en annen sårbarhet, dette problemet lar deg omgå alle nivåer av beskyttelse og organisere utførelsen av koden i systemet.
Før du blir reparert, sårbarhetene som er identifisert i de to siste versjonene av Firefox De ble brukt til å arrangere et angrep mot ansatte i kryptovalutautveksling Coinbase og ble også brukt til å spre skadelig programvare for macOS-plattformen.
Utilstrekkelig verifisering av parametrene som sendes med ledeteksten: Åpen IPC-melding mellom underordnede og foreldreprosesser kan føre til at den ikke-sandkassede foreldreprosessen åpner nettinnholdet som er valgt av en kompromittert underordnet prosess. Når dette kombineres med flere sårbarheter, kan dette føre til kjøring av vilkårlig kode på brukerens datamaskin.
Denne uken ga Mozilla ut Firefox 67.0.3 for å fikse et kritisk sårbarhet for ekstern kjøring av kode som ble brukt i målrettede angrep.
Siden løslatelsen ble det oppdaget at sårbarheten og en annen ukjent var lenket sammen som en del av et falskt angrep for å fjerne og utføre ondsinnede nyttelast på offerets maskiner.
Det påstås at Informasjon om det første sikkerhetsproblemet ble sendt til Mozilla av en Google Project Zero-deltaker 15. april og fikset 10. juni i betaversjonen av Firefox 68 (angriperne analyserte sannsynligvis den publiserte løsningen og forberedte utnyttelsen ved hjelp av en annen sårbarhet for å unngå sandkasseisolasjon).
Hvordan oppdaterer jeg Firefox-nettleseren på Linux?
For å oppdatere de nye korrigerende versjonene av nettleseren til denne og til og med installere den hvis du ikke har den, kan du gjøre det ved å følge instruksjonene vi deler nedenfor.
Brukere av Ubuntu, Linux Mint eller andre derivater av Ubuntu, De kan installere eller oppdatere til denne nye versjonen ved hjelp av nettleserens PPA.
Dette kan legges til systemet ved å åpne en terminal og utføre følgende kommando i den:
sudo add-apt-repository ppa:ubuntu-mozilla-security/ppa -y sudo apt-get update
Gjort dette nå må de bare installere med:
sudo apt install firefox
Til alle andre Linux-distribusjoner kan laste ned binære pakker fra følgende lenke.
Eller sjekk om den nye versjonen allerede er innlemmet i depotene dine.
En annen måte å oppdatere nettleseren på Den siste versjonen er ved å åpne nettleseren, her kan brukere manuelt søke etter nye oppdateringer i Firefox-menyen -> Hjelp -> Om Firefox. Firefox vil automatisk se etter en ny oppdatering og installere den.
Også Firefox bug fix forventes for den andre null dagers feil oppdaget trykk på Tor-nettleseren de neste dagene.
Siden i dag ble Tor Browser-teamet oppdatert til versjon 8.5.2, som inkluderer løsningen for den første null dagers feilen som ble oppdaget i Firefox-grenen.