Έχουν δημοσιευτεί διορθωτικές εκδόσεις των Firefox 100.0.2, Firefox ESR 91.9.1 και Thunderbird 91.9.1, επιδιορθώνοντας δύο ευπάθειες που χαρακτηρίστηκαν ως κρίσιμες. Στον διαγωνισμό Pwn2Own 2022 που διεξάγεται αυτές τις μέρες, επιδείχθηκε ένα λειτουργικό exploit που κατέστησε δυνατή την παράκαμψη της απομόνωσης sandbox κατά το άνοιγμα μιας ειδικά σχεδιασμένης σελίδας και την εκτέλεση κώδικα στο σύστημα. Ο συγγραφέας του εκμεταλλεύματος τιμήθηκε με βραβείο 100 χιλιάδων δολαρίων.
Η πρώτη ευπάθεια (CVE-2022-1802) είναι παρούσα στην υλοποίηση του τελεστή αναμονής και επιτρέπει την αλλοίωση των μεθόδων στο αντικείμενο Array αλλάζοντας την ιδιότητα του πρωτοτύπου ("prototype pollution"). Η δεύτερη ευπάθεια (CVE-2022-1529) καθιστά δυνατή την αλλαγή της ιδιότητας πρωτότυπου κατά την επεξεργασία μη επικυρωμένων δεδομένων κατά τη δημιουργία ευρετηρίου αντικειμένων JavaScript. Τα τρωτά σημεία επιτρέπουν την εκτέλεση κώδικα JavaScript σε μια προνομιακή γονική διαδικασία.
Πηγή: opennet.ru