Mozilla патчит критический баг в Firefox и Thunderbird вслед за Apple и Google - «Новости» » Интернет технологии
sitename
Компания, защищающая от DDoS-атак, пострадала от атаки мощностью 1,5 млрд пакетов в секунду - «Новости»
Компания, защищающая от DDoS-атак, пострадала от атаки мощностью 1,5 млрд пакетов в секунду - «Новости»
США возглавляют мировой рынок инвестиций в шпионское ПО - «Новости»
США возглавляют мировой рынок инвестиций в шпионское ПО - «Новости»
Атака GhostAction привела к раскрытию 3325 секретов - «Новости»
Атака GhostAction привела к раскрытию 3325 секретов - «Новости»
Критическая уязвимость в Chrome принесла специалисту 43 000 долларов - «Новости»
Критическая уязвимость в Chrome принесла специалисту 43 000 долларов - «Новости»
Футболки «Хакера» в продаже - «Новости»
Футболки «Хакера» в продаже - «Новости»
Персональные компьютеры Аквариус
Персональные компьютеры Аквариус
AMD не признаёт поражения на графическом направлении и обещает нокаутировать Nvidia с помощью Instinct MI450 - «Новости сети»
AMD не признаёт поражения на графическом направлении и обещает нокаутировать Nvidia с помощью Instinct MI450 - «Новости сети»
Тест показал, что OLED-монитор «раздражает» выгоранием уже через 18 месяцев использования, но не всё так однозначно - «Новости сети»
Тест показал, что OLED-монитор «раздражает» выгоранием уже через 18 месяцев использования, но не всё так однозначно - «Новости сети»
Отключения мобильного интернета сыграли на руку операторам сотовой связи, провайдерам и продавцам роутеров - «Новости сети»
Отключения мобильного интернета сыграли на руку операторам сотовой связи, провайдерам и продавцам роутеров - «Новости сети»
Intel воскресила легендарный шестиядерник Core i5-10400 под новым именем Core i5-110 - «Новости сети»
Intel воскресила легендарный шестиядерник Core i5-10400 под новым именем Core i5-110 - «Новости сети»
Как заработать денег, не выходя из дома, мы вам поможем с этим разобраться » Новости » Mozilla патчит критический баг в Firefox и Thunderbird вслед за Apple и Google - «Новости»

Разработчики Mozilla выпустили экстренные обновления, чтобы исправить критическую уязвимость нулевого дня, которая уже использовалась хакерами и затрагивала браузер Firefox и почтовый клиент Thunderbird. Ту же проблему, связанную библиотекой WebP (libwebp), ранее исправили в своих продуктах специалисты Google.


Критический баг имеет идентификатор CVE-2023-4863 и связан с переполнением буфера хипа WebP. Известно, что последствия от эксплуатации этой уязвимости могут варьироваться от сбоев до удаленного выполнения произвольного кода.


«Открытие вредоносного изображения WebP может привести к переполнению буфера хипа в процессе обработки контента. Нам известно, что эта проблема уже эксплуатируется в других продуктах», — сообщают разработчики Mozilla в своем бюллетене безопасности.


Mozilla устранила уязвимость в составе Firefox 117.0.1, Firefox ESR 115.2.1, Firefox ESR 102.15.1, а также в Thunderbird 102.15.1 и Thunderbird 115.2.2.


Опенсорсная библиотека libwebp, разработанная Google, обрабатывает изображения WebP. То есть любое приложение, которое использует упомянутую библиотеку для работы с изображениями WebP (будь то Chrome, Edge, Firefox и так далее), потенциально может быть атаковано чрез специально подготовленное изображение.


Напомним, что ранее эту уязвимость, связанную с WebP, исправили в браузере Google Chrome, а специалисты компании предупредили, что им известно о существовании эксплоита для CVE-2023-4863. При этом за обнаружение проблемы в компании поблагодарили коллег из Apple Security Engineering and Architecture (SEAR).


Также на прошлой неделе внеплановые обновления, устраняющие две 0-day уязвимости, которые уже использовались в атаках на пользователей iPhone и Mac, выпустила компания Apple.  Ошибки и получили идентификаторы CVE-2023-41064 и CVE-2023-41061.


Сообщалось, что CVE-2023-41064 представляет собой уязвимость, связанную с переполнением буфера, срабатывает при обработке вредоносных изображений и может привести к выполнению произвольного кода на непропатченных устройствах.


Тогда специалисты Citizen Lab писали, что проблемы CVE-2023-41064 и CVE-2023-41061 активно применялись злоумышленниками и являлись частью цепочки zero-click эксплоитов для iMessage, которая получила название BLASTPASS. Эксперты считают, что эти уязвимости использовались для распространения шпионского ПО Pegasus, созданного NSO Group.


Хотя пока о прямой связи между CVE-2023-4863 и уязвимостями, исправленными Apple, не сообщалось, время выхода патчей, благодарность специалистам Apple SEAR и схожие типы уязвимостей намекают на то, что между этими проблемами может быть много общего.

Цитирование статьи, картинки - фото скриншот - Rambler News Service.
Иллюстрация к статье - Яндекс. Картинки.
Есть вопросы. Напишите нам.
Общие правила  поведения на сайте.

Разработчики Mozilla выпустили экстренные обновления, чтобы исправить критическую уязвимость нулевого дня, которая уже использовалась хакерами и затрагивала браузер Firefox и почтовый клиент Thunderbird. Ту же проблему, связанную библиотекой WebP (libwebp), ранее исправили в своих продуктах специалисты Google. Критический баг имеет идентификатор CVE-2023-4863 и связан с переполнением буфера хипа WebP. Известно, что последствия от эксплуатации этой уязвимости могут варьироваться от сбоев до удаленного выполнения произвольного кода. «Открытие вредоносного изображения WebP может привести к переполнению буфера хипа в процессе обработки контента. Нам известно, что эта проблема уже эксплуатируется в других продуктах», — сообщают разработчики Mozilla в своем бюллетене безопасности. Mozilla устранила уязвимость в составе Firefox 117.0.1, Firefox ESR 115.2.1, Firefox ESR 102.15.1, а также в Thunderbird 102.15.1 и Thunderbird 115.2.2. Опенсорсная библиотека libwebp, разработанная Google, обрабатывает изображения WebP. То есть любое приложение, которое использует упомянутую библиотеку для работы с изображениями WebP (будь то Chrome, Edge, Firefox и так далее), потенциально может быть атаковано чрез специально подготовленное изображение. Напомним, что ранее эту уязвимость, связанную с WebP, исправили в браузере Google Chrome, а специалисты компании предупредили, что им известно о существовании эксплоита для CVE-2023-4863. При этом за обнаружение проблемы в компании поблагодарили коллег из Apple Security Engineering and Architecture (SEAR). Также на прошлой неделе внеплановые обновления, устраняющие две 0-day уязвимости, которые уже использовались в атаках на пользователей iPhone и Mac, выпустила компания Apple. Ошибки и получили идентификаторы CVE-2023-41064 и CVE-2023-41061. Сообщалось, что CVE-2023-41064 представляет собой уязвимость, связанную с переполнением буфера, срабатывает при обработке вредоносных изображений и может привести к выполнению произвольного кода на непропатченных устройствах. Тогда специалисты Citizen Lab писали, что проблемы CVE-2023-41064 и CVE-2023-41061 активно применялись злоумышленниками и являлись частью цепочки zero-click эксплоитов для iMessage, которая получила название BLASTPASS. Эксперты считают, что эти уязвимости использовались для распространения шпионского ПО Pegasus, созданного NSO Group. Хотя пока о прямой связи между CVE-2023-4863 и уязвимостями, исправленными Apple, не сообщалось, время выхода патчей, благодарность специалистам Apple SEAR и схожие типы уязвимостей намекают на то, что между этими проблемами может быть много общего.
CSS

Смотрите также


А что там на главной? )))



Комментарии )))



Войти через: