Byly zveřejněny opravné verze Firefox 100.0.2, Firefox ESR 91.9.1 a Thunderbird 91.9.1, které opravují dvě zranitelnosti s kritickou úrovní nebezpečí. Na probíhající soutěži Pwn2Own 2022 byl představen funkční exploit, který umožnil obcházet sandboxovou izolaci při otevření speciálně upravené stránky a vykonat kód v systému. Autorovi exploitu byla udělena odměna ve výši 100 tisíc dolarů.
První zranitelnost (CVE-2022-1802) se nachází v implementaci operátoru await a umožňuje poškodit metody v objektu Array změnou vlastnosti prototype („zamoření prototypu“). Druhá zranitelnost (CVE-2022-1529) umožňuje změnit vlastnost prototype při zpracování neověřených dat během indexace objektů JavaScript. Tyto zranitelnosti umožňují vykonat JavaScriptový kód v privilegovaném rodičovském procesu.
Zdroj: opennet.ru
