Firefox lanza una actualización de parches críticos para detener los ataques de día cero en curso

Actualización importante [21 de junio de 2019] : Mozilla lanzó el jueves otra actualización de la versión 67.0.4 de Firefox para parchear una segunda vulnerabilidad de día cero.

Si usa el navegador web Firefox, debe actualizarlo ahora mismo.

Mozilla lanzó hoy versiones anteriores de Firefox 67.0.3 y Firefox ESR 60.7.1 para corregir una vulnerabilidad crítica de día cero en el software de navegación que los hackers han encontrado explotando en la naturaleza.

Descubierta e informada por Samuel Groß, un investigador de ciberseguridad en Google Project Zero, la vulnerabilidad podría permitir a los atacantes ejecutar de forma remota código arbitrario en máquinas que ejecutan versiones vulnerables de Firefox y tomar el control total de ellos.

La vulnerabilidad, identificada como CVE-2019-11707.afecta a cualquier persona que use Firefox en el escritorio (Windows, macOS y Linux), mientras que Firefox para Android, iOS y Amazon Fire TV no se ven afectados.

Según un aviso , la falla se ha etiquetado como una vulnerabilidad de tipo confusión en Firefox que puede provocar una falla explotable debido a problemas en Array.pop que pueden ocurrir al manipular objetos de JavaScript.

En el momento de redactar este documento, ni el investigador ni Mozilla han publicado ningún detalle técnico adicional o prueba de concepto para esta falla.

A través de Firefox instala automáticamente las últimas actualizaciones y activa la nueva versión después de un reinicio, aún se recomienda a los usuarios asegurarse de que están ejecutando las últimas versiones de Firefox 67.0.3 y Firefox (versión de soporte ampliado) 60.7.1 o posterior.

Actualizar

Más tarde, el investigador compartió algunos detalles más sobre la falla con The Hacker News, diciendo que la falla reportada conduce principalmente a ataques de secuencias de comandos en sitios cruzados universales (UXSS), pero si se combina con un problema de escape de la caja de arena, también podría permitir a los atacantes ejecutar Código arbitrario de forma remota en un sistema de destino.

"No tengo ningún conocimiento sobre la parte de explotación activa. Encontré y luego informé el error el 15 de abril. La primera solución pública se realizó hace aproximadamente una semana (las soluciones de seguridad se retienen hasta cerca de la próxima versión):" Groß dijo en Twitter .

"El error se puede explotar para RCE, pero luego se necesitaría un escape separado de la zona de pruebas. Sin embargo, lo más probable es que también se pueda explotar para UXSS, lo que podría ser suficiente dependiendo de los objetivos del atacante".