עדכון Firefox 100.0.2 עם פגיעויות קריטיות שתוקנו

מהדורות מתקנות של Firefox 100.0.2, Firefox ESR 91.9.1 ו-Thunderbird 91.9.1 פורסמו, תוך תיקון שתי נקודות תורפה שדורגו כקריטיות. בתחרות Pwn2Own 2022 המתקיימת בימים אלה, הודגם ניצול עובד שאיפשר לעקוף את בידוד ארגז החול בעת פתיחת עמוד מעוצב במיוחד וביצוע קוד במערכת. מחבר הניצול זכה בפרס של 100 אלף דולר.

הפגיעות הראשונה (CVE-2022-1802) קיימת בהטמעת מפעיל ה-await ומאפשרת השחתה של שיטות באובייקט Array על ידי שינוי תכונת האב-טיפוס ("זיהום אב-טיפוס"). הפגיעות השנייה (CVE-2022-1529) מאפשרת לשנות את מאפיין האב-טיפוס בעת עיבוד נתונים לא מאומתים במהלך אינדקס של אובייקטי JavaScript. הפגיעויות מאפשרות להפעיל את קוד JavaScript בתהליך אב מיוחס.

מקור: OpenNet.ru