Mozilla патчит критический баг в Firefox и Thunderbird вслед за Apple и Google - «Новости» » Интернет технологии
sitename
Positive Technologies помогла устранить уязвимость в библиотеке PHPOffice - «Новости»
Positive Technologies помогла устранить уязвимость в библиотеке PHPOffice - «Новости»
Группировка Hunters International закрывается и выпускает бесплатные дешифраторы - «Новости»
Группировка Hunters International закрывается и выпускает бесплатные дешифраторы - «Новости»
Microsoft просит игнорировать ошибки Windows Firewall - «Новости»
Microsoft просит игнорировать ошибки Windows Firewall - «Новости»
Шпионское приложение Catwatchful раскрыло данные 62 000 пользователей - «Новости»
Шпионское приложение Catwatchful раскрыло данные 62 000 пользователей - «Новости»
Печатная версия «Хакеров.RU» в продаже - «Новости»
Печатная версия «Хакеров.RU» в продаже - «Новости»
AMD раскрыла потенциал Radeon RX 9070 XT новыми драйверами — GeForce RTX 5070 Ti теперь медленнее - «Новости сети»
AMD раскрыла потенциал Radeon RX 9070 XT новыми драйверами — GeForce RTX 5070 Ti теперь медленнее - «Новости сети»
Honor представила флагманский планшет MagicPad 3 с большим 13,3-дюймовым экраном и ценой от $420 - «Новости сети»
Honor представила флагманский планшет MagicPad 3 с большим 13,3-дюймовым экраном и ценой от $420 - «Новости сети»
Миллионы долларов на ветер — DARPA отменило проект космического рейдера на тепловом ядерном двигателе - «Новости сети»
Миллионы долларов на ветер — DARPA отменило проект космического рейдера на тепловом ядерном двигателе - «Новости сети»
«Кто-то проник в наш дом и что-то украл» — Сэм Альтман назвал отвратительным то, как Meta✴ переманивает специалистов ИИ - «Новости сети»
«Кто-то проник в наш дом и что-то украл» — Сэм Альтман назвал отвратительным то, как Meta✴ переманивает специалистов ИИ - «Новости сети»
Нил Дракманн бросил сериал The Last of Us, чтобы «целиком сосредоточиться» на Intergalactic: The Heretic Prophet - «Новости сети»
Нил Дракманн бросил сериал The Last of Us, чтобы «целиком сосредоточиться» на Intergalactic: The Heretic Prophet - «Новости сети»
Как заработать денег, не выходя из дома, мы вам поможем с этим разобраться » Новости » Mozilla патчит критический баг в Firefox и Thunderbird вслед за Apple и Google - «Новости»

Разработчики Mozilla выпустили экстренные обновления, чтобы исправить критическую уязвимость нулевого дня, которая уже использовалась хакерами и затрагивала браузер Firefox и почтовый клиент Thunderbird. Ту же проблему, связанную библиотекой WebP (libwebp), ранее исправили в своих продуктах специалисты Google.


Критический баг имеет идентификатор CVE-2023-4863 и связан с переполнением буфера хипа WebP. Известно, что последствия от эксплуатации этой уязвимости могут варьироваться от сбоев до удаленного выполнения произвольного кода.


«Открытие вредоносного изображения WebP может привести к переполнению буфера хипа в процессе обработки контента. Нам известно, что эта проблема уже эксплуатируется в других продуктах», — сообщают разработчики Mozilla в своем бюллетене безопасности.


Mozilla устранила уязвимость в составе Firefox 117.0.1, Firefox ESR 115.2.1, Firefox ESR 102.15.1, а также в Thunderbird 102.15.1 и Thunderbird 115.2.2.


Опенсорсная библиотека libwebp, разработанная Google, обрабатывает изображения WebP. То есть любое приложение, которое использует упомянутую библиотеку для работы с изображениями WebP (будь то Chrome, Edge, Firefox и так далее), потенциально может быть атаковано чрез специально подготовленное изображение.


Напомним, что ранее эту уязвимость, связанную с WebP, исправили в браузере Google Chrome, а специалисты компании предупредили, что им известно о существовании эксплоита для CVE-2023-4863. При этом за обнаружение проблемы в компании поблагодарили коллег из Apple Security Engineering and Architecture (SEAR).


Также на прошлой неделе внеплановые обновления, устраняющие две 0-day уязвимости, которые уже использовались в атаках на пользователей iPhone и Mac, выпустила компания Apple.  Ошибки и получили идентификаторы CVE-2023-41064 и CVE-2023-41061.


Сообщалось, что CVE-2023-41064 представляет собой уязвимость, связанную с переполнением буфера, срабатывает при обработке вредоносных изображений и может привести к выполнению произвольного кода на непропатченных устройствах.


Тогда специалисты Citizen Lab писали, что проблемы CVE-2023-41064 и CVE-2023-41061 активно применялись злоумышленниками и являлись частью цепочки zero-click эксплоитов для iMessage, которая получила название BLASTPASS. Эксперты считают, что эти уязвимости использовались для распространения шпионского ПО Pegasus, созданного NSO Group.


Хотя пока о прямой связи между CVE-2023-4863 и уязвимостями, исправленными Apple, не сообщалось, время выхода патчей, благодарность специалистам Apple SEAR и схожие типы уязвимостей намекают на то, что между этими проблемами может быть много общего.

Цитирование статьи, картинки - фото скриншот - Rambler News Service.
Иллюстрация к статье - Яндекс. Картинки.
Есть вопросы. Напишите нам.
Общие правила  поведения на сайте.

Разработчики Mozilla выпустили экстренные обновления, чтобы исправить критическую уязвимость нулевого дня, которая уже использовалась хакерами и затрагивала браузер Firefox и почтовый клиент Thunderbird. Ту же проблему, связанную библиотекой WebP (libwebp), ранее исправили в своих продуктах специалисты Google. Критический баг имеет идентификатор CVE-2023-4863 и связан с переполнением буфера хипа WebP. Известно, что последствия от эксплуатации этой уязвимости могут варьироваться от сбоев до удаленного выполнения произвольного кода. «Открытие вредоносного изображения WebP может привести к переполнению буфера хипа в процессе обработки контента. Нам известно, что эта проблема уже эксплуатируется в других продуктах», — сообщают разработчики Mozilla в своем бюллетене безопасности. Mozilla устранила уязвимость в составе Firefox 117.0.1, Firefox ESR 115.2.1, Firefox ESR 102.15.1, а также в Thunderbird 102.15.1 и Thunderbird 115.2.2. Опенсорсная библиотека libwebp, разработанная Google, обрабатывает изображения WebP. То есть любое приложение, которое использует упомянутую библиотеку для работы с изображениями WebP (будь то Chrome, Edge, Firefox и так далее), потенциально может быть атаковано чрез специально подготовленное изображение. Напомним, что ранее эту уязвимость, связанную с WebP, исправили в браузере Google Chrome, а специалисты компании предупредили, что им известно о существовании эксплоита для CVE-2023-4863. При этом за обнаружение проблемы в компании поблагодарили коллег из Apple Security Engineering and Architecture (SEAR). Также на прошлой неделе внеплановые обновления, устраняющие две 0-day уязвимости, которые уже использовались в атаках на пользователей iPhone и Mac, выпустила компания Apple. Ошибки и получили идентификаторы CVE-2023-41064 и CVE-2023-41061. Сообщалось, что CVE-2023-41064 представляет собой уязвимость, связанную с переполнением буфера, срабатывает при обработке вредоносных изображений и может привести к выполнению произвольного кода на непропатченных устройствах. Тогда специалисты Citizen Lab писали, что проблемы CVE-2023-41064 и CVE-2023-41061 активно применялись злоумышленниками и являлись частью цепочки zero-click эксплоитов для iMessage, которая получила название BLASTPASS. Эксперты считают, что эти уязвимости использовались для распространения шпионского ПО Pegasus, созданного NSO Group. Хотя пока о прямой связи между CVE-2023-4863 и уязвимостями, исправленными Apple, не сообщалось, время выхода патчей, благодарность специалистам Apple SEAR и схожие типы уязвимостей намекают на то, что между этими проблемами может быть много общего.
CSS

Смотрите также


А что там на главной? )))



Комментарии )))



Войти через: