Firefox 97.0.2 en 91.6.1 zijn beschikbaar met een correctie voor twee kwetsbaarheden die zijn geclassificeerd als kritiek. De kwetsbaarheden stellen aanvallers in staat om de sandbox-isolatie te omzeilen en hun eigen code uit te voeren met browserprivileges bij het verwerken van speciaal opgemaakt materiaal. Er zijn actieve exploits voor beide problemen ontdekt, die al worden gebruikt voor aanvallen.
De details zijn nog niet openbaar gemaakt; het enige dat bekend is, is dat de eerste kwetsbaarheid (CVE-2022-26485) verband houdt met toegang tot al vrijgegeven geheugengebieden (Use-after-free) in de code die wordt gebruikt voor het verwerken van het XSLT-parameter, terwijl de tweede (CVE-2022-26486) betrekking heeft op toegang tot al vrijgegeven geheugen in het IPC-raamwerk WebGPU.
Alle gebruikers van browsers die op de Firefox-engine zijn gebaseerd, wordt dringend aangeraden om de updates te installeren. Gebruikers van de Tor Browser, die is gebaseerd op de ESR-tak van Firefox 91, moeten bijzonder voorzichtig zijn met het installeren van updates, aangezien de kwetsbaarheden niet alleen kunnen leiden tot systeemcompromittering, maar ook tot de-anonimisering van de gebruiker. Een update die de besproken kwetsbaarheden verhelpt voor de Tor Browser is nog niet beschikbaar.
Bron: opennet.ru
