Hackare missbrukar 2 nya säkerhetsproblem i Firefox

Hackare har hittats som utnyttjar ett par tidigare okända sårbarheter i Firefox-webbläsaren för att kapa datorer.

Detaljer om bristerna förblir tunna, men de kan utlösa ett "rasförhållande", vilket resulterar i ett farligt tillstånd för webbläsaren.

Om de utnyttjas kan felen orsaka att systemet kraschar eller uppmanar Firefox att köra datorkod, vilket banar väg för en hackare att manipulera din dator för att ladda ner ytterligare skadlig kod.

"Vi är medvetna om riktade attacker i naturen som missbrukar denna brist," sa Firefox-utvecklaren Mozilla i en varning på fredagen som beskriver båda sårbarheterna.

Specifikt handlar problemet om hur webbläsaren hanterar RAM-minnesblock.

För att förhindra hogging av systemresurser returnerar ett program normalt minnesblocken efter att en operation har slutförts.

Samma program bör heller aldrig återgå till ett frigjort minnesblock som för närvarande är upptaget av ett annat program, konstaterar säkerhetsföretaget Sophos.

Men tydligen har Firefox felaktigt åtkomst till minnesblocken när programvaran bearbetar data via "nsDocShell-destruktören" och när hanterar en "Readable Stream".

Effekten skapar en "use-after-free" sårbarhet, vilket potentiellt kan få programmet att köra otillförlitlig kod från ett minnesblock.

”I vissa fall kan buggar efter användning göra det möjligt för en angripare att ändra kontrollflödet inuti ditt program, inklusive att vidarekoppla CPU: n för att köra otillförlitlig kod som angriparen precis pekade in i minnet från utsidan, och därmed kringgå någon av webbläsarens vanliga säkerhetskontroller eller "är du säker" -dialoger, "tillade Sophos.

Enligt Mozilla fungerar bristerna bara under vissa förhållanden.

Ändå har båda sårbarheterna bedömts vara kritiska.

Lyckligtvis har företaget släppt en patch, som automatiskt ska rulla ut till användare som Firefox version 74.0.1 och Firefox ESR 68.6.1.

För att kontrollera om du har uppgraderat, gå till webbläsarens hjälpknapp i Windows och klicka på "Om Firefox" för att se vilken version du använder.

På macOS, gå till inställningspanelen och bläddra ner för att visa versionsnumret.

Säkerhetsforskarna som upptäckte sårbarheterna är för att släppa mer information, vilket kan avslöja hur hackare faktiskt levererar attackerna.

Forskarna indikerar också att andra webbläsare kan påverkas också.

Hackare har hittats som utnyttjar ett par tidigare okända sårbarheter i Firefox-webbläsaren för att kapa datorer.

Detaljer om bristerna förblir tunna, men de kan utlösa ett "rasförhållande", vilket resulterar i ett farligt tillstånd för webbläsaren.

Om de utnyttjas kan felen orsaka att systemet kraschar eller uppmanar Firefox att köra datorkod, vilket banar väg för en hackare att manipulera din dator för att ladda ner ytterligare skadlig kod.

"Vi är medvetna om riktade attacker i naturen som missbrukar denna brist," sa Firefox-utvecklaren Mozilla i en varning på fredagen som beskriver båda sårbarheterna.

Specifikt handlar problemet om hur webbläsaren hanterar RAM-minnesblock.

För att förhindra hogging av systemresurser returnerar ett program normalt minnesblocken efter att en operation har slutförts.

Samma program bör heller aldrig återgå till ett frigjort minnesblock som för närvarande är upptaget av ett annat program, konstaterar säkerhetsföretaget Sophos.

Men tydligen har Firefox felaktigt åtkomst till minnesblocken när programvaran bearbetar data via "nsDocShell-destruktören" och när hanterar en "Readable Stream".

Effekten skapar en "use-after-free" sårbarhet, vilket potentiellt kan få programmet att köra otillförlitlig kod från ett minnesblock.

”I vissa fall kan buggar efter användning göra det möjligt för en angripare att ändra kontrollflödet inuti ditt program, inklusive att vidarekoppla CPU: n för att köra otillförlitlig kod som angriparen precis pekade in i minnet från utsidan, och därmed kringgå någon av webbläsarens vanliga säkerhetskontroller eller "är du säker" -dialoger, "tillade Sophos.

Enligt Mozilla fungerar bristerna bara under vissa förhållanden.

Ändå har båda sårbarheterna bedömts vara kritiska.

Lyckligtvis har företaget släppt en patch, som automatiskt ska rulla ut till användare som Firefox version 74.0.1 och Firefox ESR 68.6.1.

För att kontrollera om du har uppgraderat, gå till webbläsarens hjälpknapp i Windows och klicka på "Om Firefox" för att se vilken version du använder.

På macOS, gå till inställningspanelen och bläddra ner för att visa versionsnumret.

Säkerhetsforskarna som upptäckte sårbarheterna är för att släppa mer information, vilket kan avslöja hur hackare faktiskt levererar attackerna.

Forskarna indikerar också att andra webbläsare kan påverkas också.