Firefox 97.0.2 und 91.6.1 sind mit einem korrigierenden Update verfügbar, das zwei als kritisch eingestufte Sicherheitsanfälligkeiten beseitigt. Diese Schwachstellen ermöglichen es, die Sandbox-Isolation zu umgehen und eigenen Code mit Browser-Rechten beim Verarbeiten speziell gestalteter Inhalte auszuführen. Es wird berichtet, dass hierzu bereits funktionierende Exploits existieren, die für Angriffe genutzt werden.
Die Einzelheiten sind noch nicht bekannt, fest steht jedoch, dass die erste Schwachstelle (CVE-2022-26485) mit dem Zugriff auf bereits freigegebenen Speicher (Use-after-free) im Code zur Verarbeitung von XSLT-Parametern zusammenhängt, während die zweite (CVE-2022-26486) den Zugriff auf bereits freigegebenen Speicher im IPC-Framework WebGPU betrifft.
Allen Nutzern von Browsern, die auf der Firefox-Engine basieren, wird geraten, die Updates dringend zu installieren. Besonders vorsichtig sollten Nutzer des Tor Browsers sein, der auf der ESR-Version von Firefox 91 basiert, da diese Sicherheitsanfälligkeiten nicht nur zur Kompromittierung des Systems, sondern auch zur De-Anonymisierung des Nutzers führen können. Ein Update zur Behebung dieser Schwachstellen für den Tor Browser ist derzeit noch nicht verfügbar.
Quelle: opennet.ru
