Nakon izdanja Firefox 67.0.3 i 60.7.1 objavljene su dodatne ispravke 67.0.4 i 60.7.2, u kojima je otklonjena druga 0-day (CVE-2019-11708), koja omogućava zaobilaženje mehanizma izolacije sandboxa. Problem koristi manipulaciju IPC pozivom Prompt:Open kako bi otvorio web sadržaj odabranog podprocesa u roditeljskom procesu, gdje se sandbox ne primjenjuje. U kombinaciji s drugom ranjivošću, ovaj problem omogućava zaobilaženje svih razina zaštite i izvršavanje koda u sustavu.
Ranjivosti otkrivene u posljednja dva izdanja Firefoxa prije ispravka za organizaciju napada na zaposlenike burze kriptovaluta Coinbase, kao i za širenje zlonamjernog softvera za platformu macOS. , informacije o prvoj ranjivosti poslane su Mozilli od strane člana Google Project Zero 15. travnja, a 10. lipnja je bila u beta verziji Firefoxa 68 (vjerojatno su napadači analizirali objavljenu ispravku i pripremili exploit, koristeći još jednu ranjivost za zaobilaženje sandbox izolacije).
Izvor: opennet.ru
