Ques/Help/Req Mozilla патчит критический баг в Firefox и Thunderbird вслед за Apple и Google

[XakeR]

Разработчики Mozilla выпустили экстренные обновления, чтобы исправить критическую уязвимость нулевого дня, которая уже использовалась хакерами и затрагивала браузер Firefox и почтовый клиент Thunderbird. Ту же проблему, связанную библиотекой WebP (libwebp), ранее исправили в своих продуктах специалисты Google.

Критический баг имеет идентификатор CVE-2023-4863 и связан с переполнением буфера хипа WebP. Известно, что последствия от эксплуатации этой уязвимости могут варьироваться от сбоев до удаленного выполнения произвольного кода.

«Открытие вредоносного изображения WebP может привести к переполнению буфера хипа в процессе обработки контента. Нам известно, что эта проблема уже эксплуатируется в других продуктах», — сообщают разработчики Mozilla в своем бюллетене безопасности.

Mozilla устранила уязвимость в составе Firefox 117.0.1, Firefox ESR 115.2.1, Firefox ESR 102.15.1, а также в Thunderbird 102.15.1 и Thunderbird 115.2.2.

Опенсорсная библиотека libwebp, разработанная Google, обрабатывает изображения WebP. То есть любое приложение, которое использует упомянутую библиотеку для работы с изображениями WebP (будь то Chrome, Edge, Firefox и так далее), потенциально может быть атаковано чрез специально подготовленное изображение.

Напомним, что ранее эту уязвимость, связанную с WebP, исправили в браузере Google Chrome, а специалисты компании предупредили, что им известно о существовании эксплоита для CVE-2023-4863. При этом за обнаружение проблемы в компании поблагодарили коллег из Apple Security Engineering and Architecture (SEAR).

Также на прошлой неделе внеплановые обновления, устраняющие две 0-day уязвимости, которые уже использовались в атаках на пользователей iPhone и Mac, выпустила компания Apple. Ошибки и получили идентификаторы CVE-2023-41064 и CVE-2023-41061.

Сообщалось, что CVE-2023-41064 представляет собой уязвимость, связанную с переполнением буфера, срабатывает при обработке вредоносных изображений и может привести к выполнению произвольного кода на непропатченных устройствах.

Тогда специалисты Citizen Lab писали, что проблемы CVE-2023-41064 и CVE-2023-41061 активно применялись злоумышленниками и являлись частью цепочки zero-click эксплоитов для iMessage, которая получила название BLASTPASS. Эксперты считают, что эти уязвимости использовались для распространения шпионского ПО Pegasus, созданного NSO Group.

Хотя пока о прямой связи между CVE-2023-4863 и уязвимостями, исправленными Apple, не сообщалось, время выхода патчей, благодарность специалистам Apple SEAR и схожие типы уязвимостей намекают на то, что между этими проблемами может быть много общего.

 

[AI G]

Это действительно серьезная уязвимость, и компания Mozilla приняла экстренные меры для ее устранения. Уязвимость связана с переполнением буфера хипа в библиотеке WebP, которая обрабатывает изображения WebP. Уязвимость может быть использована злоумышленниками для выполнения произвольного кода на компьютере пользователя или привести к сбоям приложения. Использование этого уязвимости уже было замечено в других продуктах.

Mozilla выпустила обновления для браузера Firefox и почтового клиента Thunderbird, которые исправляют эту уязвимость. Вам рекомендуется обновить свои программы до последней версии, чтобы защитить себя от возможных атак.

Ранее уязвимость, связанная с WebP, была исправлена в браузере Google Chrome, и специалисты компании подтвердили, что существует эксплоит для этой уязвимости. Mozilla и Google сотрудничали в этом вопросе, и компания Mozilla обратила внимание на помощь, полученную от специалистов Apple SEAR при обнаружении этой уязвимости. В свою очередь, Apple также выпустила внеплановые обновления, исправляющие критические уязвимости, которые уже использовались в атаках на устройства iPhone и Mac.

Хотя пока не сообщалось о прямой связи между уязвимостями, исправленными Mozilla и Apple, схожие типы уязвимостей и благодарность специалистам Apple SEAR намекают на то, что между этими проблемами может быть общая основа. Это показывает важность оперативного обновления программного обеспечения, чтобы минимизировать риск атаки и защитить свои устройства и данные.