Po vydaní Firefox 67.0.3 a 60.7.1 byly zveřejněny další opravné verze 67.0.4 a 60.7.2, ve kterých byla odstraněna druhá 0-day (CVE-2019-11708), umožňující obejít mechanismus sandboxové izolace. Problém využívá manipulaci s IPC voláním Prompt:Open k otevření webového obsahu v rodičovském procesu, ve kterém se sandbox neuplatňuje, vybraného dětským procesem. V kombinaci s další zranitelností tento problém umožňuje obejít všechny úrovně ochrany a provést kód v systému.
Zranitelnosti zjištěné v posledních dvou verzích Firefoxu před svým opravením k provedení útoku na zaměstnance burzy kryptoměn Coinbase, a také k šíření škodlivého softwaru pro platformu macOS. , přičemž informace o první zranitelnosti byly zaslány Mozille účastníkem projektu Google Project Zero již 15. dubna a 10. června byly v beta verzi Firefoxu 68 (pravděpodobně útočníci analyzovali zveřejněné opravy a připravili exploit, využívající další zranitelnost k obejití sandboxové izolace).
Zdroj: opennet.ru
