Cập nhật Firefox ngay! Lỗ hổng CVE-2024-2615 có thể cho phép tấn công zero-click

[WhiteHat Team]

Mozilla đã phát hành bản vá khẩn cấp cho cả trình duyệt Firefox (Firefox 124, Firefox ESR 115.9) và ứng dụng email Thunderbird (Thunderbird 115.9) để giải quyết 14 lỗ hổng nghiêm trọng có thể cho phép thực thi mã từ xa (RCE), thoát khỏi cơ chế bảo mật của trình duyệt, gây gián đoạn hệ thống hoặc đánh cắp dữ liệu.

​

Nguy hiểm nhất là lỗ hổng RCE CVE-2024-2615, chưa có điểm CVSS cho phép kẻ tấn công thực thi mã độc trên máy tính nạn nhân mà không bị phát hiện hoặc không cần tương tác từ người dùng (zero-click).

Các lỗ hổng khác được Mozilla ghi nhận gồm:

• CVE-2024-2605: Lỗ hổng thoát cơ chế bảo mật của trình duyệt trong hệ thống Windows.
• CVE-2024-2606: Lỗ hổng xử lý cấu trúc mã nội bộ không đúng cách.
• CVE-2024-2607: Lỗ hổng thực thi mã dành riêng cho các thiết bị dựa trên ARM cũ.
• CVE-2024-2608: Lỗ hổng tràn số nguyên có thể cho phép kẻ tấn công ghi mã độc bên ngoài hệ thống hoặc bộ nhớ mà không nên được sử dụng để lưu trữ hoặc thực thi mã độc.
• CVE-2024-2614: Lỗ hổng liên quan đến an toàn có thể dẫn đến việc thực thi mã.

Hiện tại, chưa có báo cáo về việc những lỗ hổng này đang bị khai thác trên thực tế.

Các bản vá của Mozilla tự động cập nhật bằng cách:

Trong Firefox, hãy chọn Help > About Firefox. Quá trình cập nhật sẽ bắt đầu tự động. Điều này cũng tương tự đối với Thunderbird.

Ngoài ra, người dùng được khuyến cáo nên bổ sung kiểm tra thủ công, luôn cảnh giác với các liên kết và tệp đính kèm trong các email, lựa chọn trang web uy tín để tải xuống và cập nhật phần mềm diệt virus.

Theo Security Online​