Dopo le versioni di Firefox 67.0.3 e 60.7.1 sono stati rilasciati aggiornamenti correttivi 67.0.4 e 60.7.2, che risolvono la seconda vulnerabilità 0-day (CVE-2019-11708), che consente di aggirare il meccanismo di isolamento sandbox. Il problema utilizza la manipolazione della chiamata IPC Prompt:Open per aprire contenuti web selezionati dal processo figlio nel processo genitore, dove il sandbox non è attivo. Combinato con un'altra vulnerabilità, questo problema consente di bypassare tutti i livelli di protezione ed eseguire codice nel sistema.
Le vulnerabilità riscontrate negli ultimi due rilasci di Firefox per organizzare attacchi ai dipendenti della piattaforma di scambio di criptovalute Coinbase, e sono state per diffondere malware sulla piattaforma macOS. , che le informazioni sulla prima vulnerabilità siano state inviate a Mozilla da un partecipante del progetto Google Project Zero già il 15 aprile e il 10 giugno siano state in beta con Firefox 68 (probabilmente gli attaccanti hanno analizzato la correzione pubblicata e preparato un exploit sfruttando un'altra vulnerabilità per bypassare l'isolamento sandbox).
Fonte: opennet.ru
