Corrigerende versies van Firefox 131.0.2, Firefox ESR 115.16.1, Firefox ESR 128.3.1 en Tor Browser 13.5.7 zijn uitgebracht, waarin een kritieke kwetsbaarheid (CVE-2024-9680) is opgelost die kan leiden tot code-uitvoering op het niveau van de inhoudsverwerking bij het openen van speciaal ontworpen pagina's. De kwetsbaarheid wordt veroorzaakt door het verwijzen naar al vrijgegeven geheugen (use-after-free) in de implementatie van de API AnimationTimeline, die wordt gebruikt voor het synchroniseren en nauwkeurig beheren van geanimeerde effecten op webpagina's. Het gevaar van de kwetsbaarheid wordt verergerd omdat ESET al voor de beschikbaarheid van de patch feiten heeft ontdekt van het gebruik ervan in exploits voor aanvallen (0-day). Gedetailleerde informatie over de essentie van de kwetsbaarheid wordt nog niet openbaar gemaakt.
Bovendien kan worden opgemerkt dat er in de release van Firefox 131 problemen zijn ontdekt (1, 2, 3) die leiden tot verstoringen in de weergave van interface-elementen wanneer de browser wordt uitgevoerd in omgevingen op basis van X11/Xorg zonder een compositormanager. De problemen verschijnen in Xfce wanneer de compositiestand in de instellingen is uitgeschakeld en in eenvoudige vensterbeheerders. Bijvoorbeeld, schaduwen en afgeronde hoeken van pop-upmenu's verdwijnen, en in plaats van transparantie wordt een zwarte achtergrond weergegeven op de scrollindicator.
Bron: opennet.ru
