Une version corrective de Firefox 97.0.2 et 91.6.1 est disponible, corrigeant deux vulnérabilités classées comme problèmes critiques. Ces vulnérabilités permettent de contourner l'isolation sandbox et d'exécuter du code malveillant avec des privilèges de navigateur lors du traitement de contenu spécialement conçu. Il a été signalé que des exploits fonctionnels existent pour les deux problèmes, qui sont déjà utilisés pour mener des attaques.
Les détails restent encore à être divulgués, il n'est connu que la première vulnérabilité (CVE-2022-26485) est liée à un accès à une zone de mémoire déjà libérée (Use-after-free) dans le code de gestion du paramètre XSLT, tandis que la seconde (CVE-2022-26486) concerne l'accès à de la mémoire déjà libérée dans le framework IPC de WebGPU.
Tous les utilisateurs des navigateurs basés sur Firefox sont fortement invités à mettre à jour immédiatement. Les utilisateurs de Tor Browser, qui est basé sur la branche ESR de Firefox 91, doivent être particulièrement attentifs lors de l'installation des mises à jour, car les vulnérabilités peuvent non seulement compromettre le système, mais aussi dé-anonymiser l'utilisateur. La mise à jour corrigeant ces vulnérabilités pour Tor Browser n'est pas encore disponible.
Source : opennet.ru
