von Martin Brinkmann am 23. März 2019 in Firefox – Keine Kommentare
Mozilla hat soeben die Firefox 66.0.1 und Firefox 60.6.1 ESR an die öffentlichkeit. Die beiden neuen Versionen von Firefox Patches kritische Sicherheitslücken in dem web-browser.
Firefox-Nutzer erhalten die updates automatisch, wenn automatische updates aktiviert ist im browser (was es standardmäßig ist). Die neuen Versionen sind auch als standalone-downloads von der Mozilla-offiziellen website.
Firefox-Benutzer können wählen Sie Menü > Hilfe > Über Firefox ausführen, um eine manuelle überprüfung auf updates auf die neue version sofort herunterladen. Es dauert eine Weile, wie Firefox läuft nicht in Echtzeit Updates überprüft.
Firefox 66.0.1 und Firefox ESR 60.6.1
Mozilla gepatcht zwei kritische Sicherheitslücken in Firefox 66.0.1. und Firefox 60.6.1 ESR (Extended Support Release).
Die Schwachstellen werden aufgelistet auf der offiziellen Firefox-Sicherheits-Ankündigungen-website:
CVE-2019-9810: IonMonkey MArraySlice hat falsche alias-Informationen
Falsche alias-Informationen im JIT-compiler IonMonkey für Array.der Prototyp.slice-Methode kann führen zu fehlenden Grenzen überprüfen und einen Puffer-überlauf.
CVE-2019-9813: Ionmonkey Art Verwirrung mit __proto__ – Mutationen
Falsche Handhabung von __proto__ – Mutationen führen kann, geben Sie Verwirrung in IonMonkey JIT-code und kann genutzt werden, um für beliebige Speicherbereiche Lesen und schreiben.
Die zusätzlichen Informationen nicht vorgesehen ist, zu dieser Zeit, die verlinkten bug-Angebote werden geblockt von der öffentlichkeit.
Die beiden Forscher haben entdeckt, dass die Schwachstellen sind Richard Zhu und Amat Cama, und es ist wohl kein Zufall, dass die Forscher angegriffen Firefox erfolgreich im diesjährigen Pwn2Own-Wettbewerb.
Die Sicherheits-Forscher gelungen, die Verwendung ein exploit im Firefox, um die Ausführung von code auf Systemebene, wenn ein Benutzer besucht eine speziell vorbereitete website.
Sie leveraged einer JIT-bug im browser, dann verwendet ein out-of-bounds write im Windows-kernel, um wirksam über das system. Sie waren in der Lage, die Ausführung von code auf Systemebene nur mit Firefox zu besuchen, Ihre speziell gestaltete website.
Die Konkurrenz sah ein weiteres erfolgreiches targeting Firefox. Niklas Baumstark nutzte einen JIT-Fehler in Firefox, die sandbox zu verlassen, die ein Angreifer zum ausführen von code auf dem Gerät mit den gleichen Berechtigungen wie der angemeldete Benutzer.
Er verwendet einen JIT-bug im browser, gefolgt von einem Logik-Fehler, die sandbox zu verlassen. In einem real-world Szenario, kann ein Angreifer könnte dies ausnutzen, um Ihren code auf ein Zielsystem auf der Ebene des angemeldeten Benutzers.
Es wird empfohlen, das update auf die neuen gepatchten Versionen von Firefox zu schützen, den browser und das zugrunde liegende system vor Angriffen auf diese Schwachstellen.