Следва след издания Firefox 67.0.3 и 60.7.1 допълнителни корективни версии 67.0.4 и 60.7.2, в които е отстранена втората 0-day (CVE-2019-11708), позволяваща заобикаляне на механизма за изолация на пясъчника. Проблемът се експлоатира чрез манипулация с IPC повикването Prompt:Open за отваряне в родителския процес, в който не се прилага пясъчник, на уеб съдържание, избрано от дъщерния процес. В комбинация с друга уязвимост, този проблем позволява заобикалянето на всички нива на защита и реализирането на изпълнение на код в системата.
Уязвимостите, открити в последните две версии на Firefox, преди да бъдат коригирани за организиране на атака срещу служители на криптоборсата Coinbase, а също така за разпространение на злонамерен софтуер за платформата macOS. , че информацията за първата уязвимост е била изпратена в Mozilla от участник на проекта Google Project Zero още на 15 април и на 10 юни е била в бета версията на Firefox 68 (вероятно атакуващите са анализирали публикуваното коригиране и са подготвили експлоит, използвайки друга уязвимост за заобикаляне на пясъчниковата изолация).
Източник: opennet.ru
