Актуализация на Firefox 72.0.1 и 68.4.1 с отстраняване на критична 0-day уязвимост

Публикувани са спешни коригиращи версии на Firefox 72.0.1 и 68.4.1, в които е отстранена критична уязвимост (CVE-2019-17026), която позволява изпълнението на код при отваряне на определено оформени страници. Опасността се засилва от факта, че дори преди поправката бяха регистрирани факти за извършването на атаки с използване на тази уязвимост и в ръцете на злонамерени лица се намира работещ експлоит. На всички потребители на Firefox се препоръчва спешно да обновят браузъра, а на потребителите на Tor Browser е необходимо да изчакат излизането на актуализация 9.0.4, която ще бъде публикувана в рамките на няколко часа.

Следи за извършването на атаки с използване на 0-дневна уязвимост бяха открити от китайски производители на антивирусен софтуер Qihoo 360. Проблемът е предизвикан от некоректно определяне на типа на елементите в масив при извършване на операции StoreElementHole и FallibleStoreElement в обектния код, компилиран с JIT двигателя IonMonkey. Подробности все още не са разкрити, но за анализ е достъпен кодът на патча.

Източник: opennet.ru