Mozilla Firefox 73, la mise à jour patch des vulnérabilités

Mozilla a distribué la dernière version (Firefox 73) de son navigateur, qui élimine des failles de sécurité très sévères qui rendent les systèmes vulnérables aux attaques d’un pirate distant.

La version patchée du navigateur de Mozilla est Firefox 73 et Firefox ESR 68.5. Le navigateur Firefox ESR est la version Extended Support Release de Firefox, conçue pour les déploiements en masse. Ces deux nouvelles versions corrigent six vulnérabilités. Deux de ces bugs permettent à un pirate distant d’exécuter du code sur des appareils ciblés en incitant les utilisateurs à visiter un site Web spécialement conçu et en exploitant les failles de corruption de mémoire du navigateur.

Le bulletin de sécurité de Mozilla indique que les deux failles sont liées à des «bugs de sécurité de la mémoire dans le moteur du navigateur». L’une des vulnérabilités, identifié comme CVE-2020-6800, a été corrigée dans la version précédente (Firefox 72) et la mise à jour actuelle de Firefox ESR 68.5. L’autre vulnérabilité (CVE-2020-6801) a été corrigée avec la sortie de Firefox 73.

Les mécanismes de sécurité de la mémoire protègent les systèmes contre divers failles logicielles liées à l’accès à la mémoire, tels que les dépassements de mémoire tampon et d’autres problèmes. Selon l’analyse de IBM X-Force, un pirate distant pourrait exploiter l’une des vulnérabilités en persuadant une victime de visiter une page Web malveillante, puis en utilisant des «vecteurs d’attaque inconnus» pour exécuter du code arbitraire sur le système vulnérable ou provoquer un déni de service (DoS).

firefox 73

“Certains de ces bugs ont montré des preuves de corruption de mémoire et nous supposons qu’avec suffisamment d’efforts, certains d’entre eux auraient pu être exploités pour exécuter du code arbitraire”, a déclaré Mozilla.

Les deux failles liées à la sécurité de la mémoire ont été signalés par les développeurs de Mozilla et les membres de la communauté, Raul Gurzau, Tyson Smith, Bob Clary, Liz Henry et Christian Holler.

Une autre faille importante (CVE-2020-6796) a été corrigée dans Firefox 73, et a également reçu un score de 8,8 sur 10 sur l’échelle CVSS v3, ce qui lui donne un niveau de gravité élevé. Cette vulnérabilité est causée par le manque de vérification de limites (une méthode pour détecter si une variable se trouve dans certaines limites avant d’être utilisée) sur le processus de lecture de la mémoire partagée, dans le processus parent du navigateur. Un pirate distant pourrait exploiter cette faille en persuadant une victime de visiter une page Web spécialement conçue et en utilisant des «vecteurs d’attaque inconnus» pour exécuter ensuite du code arbitraire sur le système vulnérable ou provoquer un déni de service.

“Un processus de contenu pourrait avoir modifié la mémoire partagée relative aux informations de rapport de plantage, se bloquer lui-même et provoquer une écriture hors limites”, selon l’alerte de Mozilla. «Cela aurait pu entraîner une corruption de la mémoire et un crash potentiellement exploitable.»

firefox 73

Une autre vulnérabilité (CVE-2020-6799) corrigée par Firefox 73 provient d’une erreur lors de l’ouverture de liens PDF à partir d’autres applications (lorsque Firefox est configuré comme lecteur PDF par défaut). Selon Mozilla, la faille permet à un hacker distant d’exécuter du code arbitraire sur le système en persuadant une victime de visiter un site malveillant puis en exécutant du code arbitraire ou en déclenchant un déni de service.

Alors qu’IBM X-Force a déclaré que cette faille a un score CVSS 3.0 de 8,8 sur 10 (ce qui la rendrait très grave), Mozilla dans son alerte a déclaré que l’impact était «modéré».

“Des arguments de ligne de commande auraient pu être injectés lors de l’appel de Firefox en tant que gestionnaire de shell pour certains types de fichiers non pris en charge”, a déclaré Mozilla dans sa version. «Cela nécessitait que Firefox soit configuré comme gestionnaire par défaut pour un type de fichier donné et qu’un fichier téléchargé soit ouvert dans une application tierce qui ne traitait pas suffisamment les données URL. Dans cette situation, un clic sur un lien dans l’application tierce aurait pu être utilisé pour récupérer et exécuter des fichiers dont l’emplacement a été fourni via des arguments de ligne de commande. »

Parmi les autres failles de gravité modérée, il faut aussi noté un bug résultant d’une analyse incorrecte de la balise template qui pourrait permettre une injection JavaScript (CVE-2020-6798) et un glitch où les extensions accordaient le lancement d’une application arbitraire sur les ordinateurs des victimes (CVE-2020-6797).

Installez Firefox 73

Les utilisateurs peuvent télécharger la Firefox 73 ici. Au-delà des patchs de sécurité, Mozilla a également noté que les utilisateurs ayant le logiciel de sécurité 0patch peuvent rencontrer des plantages au démarrage après la mise à jour vers Firefox 73. Le problème sera résolu dans une future version de Firefox, selon Mozilla. “Comme solution de mitigation, une exclusion pour firefox.exe peut être ajoutée dans les paramètres 0patch”, a-t-il ajouté.

Thunderbird 68.5.0 a également été distribué, marquant sa première sortie sous la propriété de la nouvelle société MZLA Technologies Corporation, qui est une filiale de Mozilla Foundation. Pour cette nouvelle version, six failles de gravité moyenne et faible ont été corrigées (ainsi que CVE-2020-6800).

Cette mise à jour de février (Firefox 73) a un plus petit impact que la mise à jour de Janvier (Firefox 72) qui corrigeait une vulnérabilité critique activement exploitée par des cybercriminels.

Si cet article vous a plu, jetez un œil à notre article précédent.

Poster un Commentaire

avatar
  S’abonner  
Notifier de