ഗുരുതരമായ കേടുപാടുകൾ പരിഹരിച്ച Firefox 100.0.2 അപ്‌ഡേറ്റ്

Firefox 100.0.2, Firefox ESR 91.9.1, Thunderbird 91.9.1 എന്നിവയുടെ തിരുത്തൽ റിലീസുകൾ പ്രസിദ്ധീകരിച്ചു, രണ്ട് കേടുപാടുകൾ നിർണായകമായി വിലയിരുത്തി. ഈ ദിവസങ്ങളിൽ നടക്കുന്ന Pwn2Own 2022 മത്സരത്തിൽ, പ്രത്യേകമായി രൂപകൽപ്പന ചെയ്ത പേജ് തുറക്കുമ്പോൾ സാൻഡ്‌ബോക്‌സ് ഐസൊലേഷനെ മറികടക്കാനും സിസ്റ്റത്തിൽ കോഡ് എക്‌സിക്യൂട്ട് ചെയ്യാനും സാധ്യമാക്കിയ ഒരു പ്രവർത്തന ചൂഷണം പ്രകടമാക്കി. ചൂഷണത്തിന്റെ രചയിതാവിന് 100 ആയിരം ഡോളർ സമ്മാനം ലഭിച്ചു.

വെയ്റ്റ് ഓപ്പറേറ്റർ നടപ്പിലാക്കുന്നതിൽ ആദ്യ അപകടസാധ്യത (CVE-2022-1802) നിലവിലുണ്ട്, കൂടാതെ പ്രോട്ടോടൈപ്പ് പ്രോപ്പർട്ടി ("പ്രോട്ടോടൈപ്പ് മലിനീകരണം") മാറ്റുന്നതിലൂടെ അറേ ഒബ്‌ജക്റ്റിലെ രീതികൾ കേടാക്കാൻ അനുവദിക്കുന്നു. രണ്ടാമത്തെ ദുർബലത (CVE-2022-1529) JavaScript ഒബ്‌ജക്‌റ്റുകളുടെ ഇൻഡെക്‌സിംഗ് സമയത്ത് അസാധുവാക്കപ്പെട്ട ഡാറ്റ പ്രോസസ്സ് ചെയ്യുമ്പോൾ പ്രോട്ടോടൈപ്പ് പ്രോപ്പർട്ടി മാറ്റുന്നത് സാധ്യമാക്കുന്നു. ഒരു പ്രത്യേക രക്ഷാകർതൃ പ്രക്രിയയിൽ JavaScript കോഡ് നടപ്പിലാക്കാൻ കേടുപാടുകൾ അനുവദിക്കുന്നു.

അവലംബം: opennet.ru