A Firefox 67.0.3 és 60.7.1 verziók után megjelentek a 67.0.4 és 60.7.2 kiegészítő javító kiadások, amelyekben orvosolták a második 0-day (CVE-2019-11708), amely lehetővé teszi a sandbox-izolációs mechanizmus megkerülését. A probléma az IPC-hívás Prompt:Open manipulációjára épít, hogy webtartalmat nyisson meg a szülőfolyamatban, ahol nem alkalmaznak sandboxot, amelyet a gyermekfolyamat választott ki. Más sebezhetőséggel együtt ez a probléma lehetővé teszi az összes védelmi szint megkerülését és kódvégrehajtást a rendszerben.
A Firefox legutóbbi két kiadásában felfedezett sebezhetőségeket a javítás előtt a Coinbase kriptovaluta tőzsde munkatársainak támadására, és a macOS platformra készült rosszindulatú szoftverek terjesztésére. , az első sebezhetőségről szóló információt a Mozilla felé a Google Project Zero projekt egy tagja már április 15-én elküldte, és június 10-én a Firefox 68 bétaverziójában (valószínűleg a támadók elemezték a közzétett javítást, és egy másik sebezhetőséget kihasználva készítettek exploitot a sandbox-izoláció megkerülésére).
Forrás: opennet.ru
