Firefox 97.0.2 ja 91.6.1 on saadaval korrektsiooniväljaanne, mis lahendab kaks kriitilise probleemina hinnatud haavatavust. Haavatavused võimaldavad ületada sandbox-isolatsiooni ja saavutada koodi täitmine brauseri õigustega spetsiaalselt vormindatud sisu töötlemisel. Teateid on, et mõlema probleemi puhul on tuvastatud töötavad eksploidid, mida juba kasutatakse rünnakute sooritamiseks.
Detailid on seni avalikustamata, kuid on teada, et esimene haavatavus (CVE-2022-26485) on seotud juba vabastatud mälu piirkonnaga (Use-after-free) XSLT parameetri töötlemise koodis, samas kui teine (CVE-2022-26486) puutub kokku juba vabastatud mäluga IPC raamistikus WebGPU.
Kõigile Firefoxi mootoril põhinevate brauserite kasutajatele soovitatakse kiiresti installida uuendused. Eriti ettevaatlikud peavad olema Tor Browseri kasutajad, mis põhineb Firefox 91 ESR harul, kuna haavatavused võivad viia mitte ainult süsteemi kompromiteerimise, vaid ka kasutaja deanonüümitamiseni. Uuendus, millel on lahendatud nimetatud haavatavused, Tor Browseri jaoks pole veel loodud.
Allikas: opennet.ru
