Byla vydána oprava pro Firefox 97.0.2 a 91.6.1, která řeší dvě kritické zranitelnosti. Tyto zranitelnosti umožňují obejít sandboxovou izolaci a získat spuštění vlastního kódu s privilegii prohlížeče při zpracování speciálně vytvořeného obsahu. Tvrdí se, že pro obě problémy byly identifikovány funkční exploitace, které se již používají k provádění útoků.
Detaily zatím nejsou zveřejněny, známo je pouze to, že první zranitelnost (CVE-2022-26485) je spojena s přístupem k již uvolněné oblasti paměti (Use-after-free) v kódu pro zpracování parametru XSLT, a druhá (CVE-2022-26486) se týká přístupu k již uvolněné paměti v IPC rámci WebGPU.
Všem uživatelům prohlížečů na enginu Firefox se důrazně doporučuje okamžitě nainstalovat aktualizace. Obzvlášť opatrní by měli být uživatelé Tor Browseru, který je založen na ESR větvi Firefoxu 91, protože zranitelnosti mohou vést nejen ke kompromitaci systému, ale i k deanonimizaci uživatele. Oprava zranitelností pro Tor Browser zatím nebyla uvolněna.
Zdroj: opennet.ru
