Correctieve versies van Firefox 100.0.2, Firefox ESR 91.9.1 en Thunderbird 91.9.1 zijn uitgebracht om twee kwetsbaarheden met een kritieke ernst te verhelpen. Op de lopende wedstrijd Pwn2Own 2022 werd een werkende exploit gedemonstreerd, waarmee sandbox-isolatie kan worden omzeild bij het openen van een speciaal opgemaakte pagina en code kan worden uitgevoerd in het systeem. De auteur van de exploit ontving een prijs van 100 duizend dollar.
De eerste kwetsbaarheid (CVE-2022-1802) is aanwezig in de implementatie van de await-operator en maakt het mogelijk om methoden in het Array-object te beschadigen door het prototype-eigendom te wijzigen ('prototype pollution'). De tweede kwetsbaarheid (CVE-2022-1529) biedt de mogelijkheid om het prototype-eigendom te modificeren bij de verwerking van ongecontroleerde gegevens tijdens het indexeren van JavaScript-objecten. Deze kwetsbaarheden maken het mogelijk om JavaScript-code uit te voeren in een bevoorrecht bovenliggend proces.
Bron: opennet.ru
