Mozilla патчит критический баг в Firefox и Thunderbird вслед за Apple и Google - «Новости» » Интернет технологии
sitename
Anthropic: хакеры использовали Claude в масштабной кибероперации - «Новости»
Anthropic: хакеры использовали Claude в масштабной кибероперации - «Новости»
В Google сообщили, что компания не связана с проблемами в работе Google Meet в РФ - «Новости»
В Google сообщили, что компания не связана с проблемами в работе Google Meet в РФ - «Новости»
Госучреждения в Неваде закрылись из-за кибератаки - «Новости»
Госучреждения в Неваде закрылись из-за кибератаки - «Новости»
В Москве прошла шестая конференция OFFZONE 2025 - «Новости»
В Москве прошла шестая конференция OFFZONE 2025 - «Новости»
ИБ-сообщество обеспокоено новым пакетом антифрод-мер - «Новости»
ИБ-сообщество обеспокоено новым пакетом антифрод-мер - «Новости»
Realme представила тонкий аккумулятор на 15 000 мА·ч и первый в мире смартфон с термоэлектрическим кулером - «Новости сети»
Realme представила тонкий аккумулятор на 15 000 мА·ч и первый в мире смартфон с термоэлектрическим кулером - «Новости сети»
Phison сняла с себя ответственность за сбои SSD после обновления Windows 11 - «Новости сети»
Phison сняла с себя ответственность за сбои SSD после обновления Windows 11 - «Новости сети»
MSI показала OLED-монитор, который непрерывно работал 533 дня и «почти не выгорел» - «Новости сети»
MSI показала OLED-монитор, который непрерывно работал 533 дня и «почти не выгорел» - «Новости сети»
Сюжетные дополнения к S.T.A.L.K.E.R. 2: Heart of Chornobyl выйдут из тени в «ближайшем будущем» — первое уже в активной разработке - «Новости сети»
Сюжетные дополнения к S.T.A.L.K.E.R. 2: Heart of Chornobyl выйдут из тени в «ближайшем будущем» — первое уже в активной разработке - «Новости сети»
Хакер сделал конкурента ChatGPT соучастником вымогательской кампании: ИИ искал уязвимости и писал угрозы - «Новости сети»
Хакер сделал конкурента ChatGPT соучастником вымогательской кампании: ИИ искал уязвимости и писал угрозы - «Новости сети»
Как заработать денег, не выходя из дома, мы вам поможем с этим разобраться » Новости » Mozilla патчит критический баг в Firefox и Thunderbird вслед за Apple и Google - «Новости»

Разработчики Mozilla выпустили экстренные обновления, чтобы исправить критическую уязвимость нулевого дня, которая уже использовалась хакерами и затрагивала браузер Firefox и почтовый клиент Thunderbird. Ту же проблему, связанную библиотекой WebP (libwebp), ранее исправили в своих продуктах специалисты Google.


Критический баг имеет идентификатор CVE-2023-4863 и связан с переполнением буфера хипа WebP. Известно, что последствия от эксплуатации этой уязвимости могут варьироваться от сбоев до удаленного выполнения произвольного кода.


«Открытие вредоносного изображения WebP может привести к переполнению буфера хипа в процессе обработки контента. Нам известно, что эта проблема уже эксплуатируется в других продуктах», — сообщают разработчики Mozilla в своем бюллетене безопасности.


Mozilla устранила уязвимость в составе Firefox 117.0.1, Firefox ESR 115.2.1, Firefox ESR 102.15.1, а также в Thunderbird 102.15.1 и Thunderbird 115.2.2.


Опенсорсная библиотека libwebp, разработанная Google, обрабатывает изображения WebP. То есть любое приложение, которое использует упомянутую библиотеку для работы с изображениями WebP (будь то Chrome, Edge, Firefox и так далее), потенциально может быть атаковано чрез специально подготовленное изображение.


Напомним, что ранее эту уязвимость, связанную с WebP, исправили в браузере Google Chrome, а специалисты компании предупредили, что им известно о существовании эксплоита для CVE-2023-4863. При этом за обнаружение проблемы в компании поблагодарили коллег из Apple Security Engineering and Architecture (SEAR).


Также на прошлой неделе внеплановые обновления, устраняющие две 0-day уязвимости, которые уже использовались в атаках на пользователей iPhone и Mac, выпустила компания Apple.  Ошибки и получили идентификаторы CVE-2023-41064 и CVE-2023-41061.


Сообщалось, что CVE-2023-41064 представляет собой уязвимость, связанную с переполнением буфера, срабатывает при обработке вредоносных изображений и может привести к выполнению произвольного кода на непропатченных устройствах.


Тогда специалисты Citizen Lab писали, что проблемы CVE-2023-41064 и CVE-2023-41061 активно применялись злоумышленниками и являлись частью цепочки zero-click эксплоитов для iMessage, которая получила название BLASTPASS. Эксперты считают, что эти уязвимости использовались для распространения шпионского ПО Pegasus, созданного NSO Group.


Хотя пока о прямой связи между CVE-2023-4863 и уязвимостями, исправленными Apple, не сообщалось, время выхода патчей, благодарность специалистам Apple SEAR и схожие типы уязвимостей намекают на то, что между этими проблемами может быть много общего.

Цитирование статьи, картинки - фото скриншот - Rambler News Service.
Иллюстрация к статье - Яндекс. Картинки.
Есть вопросы. Напишите нам.
Общие правила  поведения на сайте.

Разработчики Mozilla выпустили экстренные обновления, чтобы исправить критическую уязвимость нулевого дня, которая уже использовалась хакерами и затрагивала браузер Firefox и почтовый клиент Thunderbird. Ту же проблему, связанную библиотекой WebP (libwebp), ранее исправили в своих продуктах специалисты Google. Критический баг имеет идентификатор CVE-2023-4863 и связан с переполнением буфера хипа WebP. Известно, что последствия от эксплуатации этой уязвимости могут варьироваться от сбоев до удаленного выполнения произвольного кода. «Открытие вредоносного изображения WebP может привести к переполнению буфера хипа в процессе обработки контента. Нам известно, что эта проблема уже эксплуатируется в других продуктах», — сообщают разработчики Mozilla в своем бюллетене безопасности. Mozilla устранила уязвимость в составе Firefox 117.0.1, Firefox ESR 115.2.1, Firefox ESR 102.15.1, а также в Thunderbird 102.15.1 и Thunderbird 115.2.2. Опенсорсная библиотека libwebp, разработанная Google, обрабатывает изображения WebP. То есть любое приложение, которое использует упомянутую библиотеку для работы с изображениями WebP (будь то Chrome, Edge, Firefox и так далее), потенциально может быть атаковано чрез специально подготовленное изображение. Напомним, что ранее эту уязвимость, связанную с WebP, исправили в браузере Google Chrome, а специалисты компании предупредили, что им известно о существовании эксплоита для CVE-2023-4863. При этом за обнаружение проблемы в компании поблагодарили коллег из Apple Security Engineering and Architecture (SEAR). Также на прошлой неделе внеплановые обновления, устраняющие две 0-day уязвимости, которые уже использовались в атаках на пользователей iPhone и Mac, выпустила компания Apple. Ошибки и получили идентификаторы CVE-2023-41064 и CVE-2023-41061. Сообщалось, что CVE-2023-41064 представляет собой уязвимость, связанную с переполнением буфера, срабатывает при обработке вредоносных изображений и может привести к выполнению произвольного кода на непропатченных устройствах. Тогда специалисты Citizen Lab писали, что проблемы CVE-2023-41064 и CVE-2023-41061 активно применялись злоумышленниками и являлись частью цепочки zero-click эксплоитов для iMessage, которая получила название BLASTPASS. Эксперты считают, что эти уязвимости использовались для распространения шпионского ПО Pegasus, созданного NSO Group. Хотя пока о прямой связи между CVE-2023-4863 и уязвимостями, исправленными Apple, не сообщалось, время выхода патчей, благодарность специалистам Apple SEAR и схожие типы уязвимостей намекают на то, что между этими проблемами может быть много общего.
CSS

Смотрите также


А что там на главной? )))



Комментарии )))



Войти через: