Kiadásra került a Firefox 100.0.2, a Firefox ESR 91.9.1 és a Thunderbird 91.9.1 frissítése, amelyek két, kritikus szintű sebezhetőséget javítanak. A Pwn2Own 2022 versenysorozaton, amely jelenleg is zajlik, bemutattak egy működő exploitot, amely lehetővé tette egy különösen kialakított weboldal megnyitásakor a sandbox-izoláció megkerülését, így kódot tudtak végrehajtani a rendszeren. Az exploit szerzője 100 ezer dolláros díjat kapott.
Az első sebezhetőség (CVE-2022-1802) a await operátor megvalósításában rejlik, és lehetővé teszi a Array objektum metódusainak sérülését a prototype ("prototype pollution") tulajdonság módosításával. A második sebezhetőség (CVE-2022-1529) lehetővé teszi a prototype tulajdonság megváltoztatását nem ellenőrzött adatok feldolgozása során a JavaScript objektumok indexelésekor. Ezek a sebezhetőségek lehetővé teszik a JavaScript kód végrehajtását privilegizált szülőfolyamatban.
Forrás: opennet.ru
