Mozilla vá hai lỗi zero-day có nguy cơ bị khai thác trong Firefox

[WhiteHat Team]

Mới xử lý lỗ hổng CVE-2024-2615 có thể cho phép tấn công zero-click vào tuần trước, thì tuần này Mozilla đã tiếp tục phát hành bản vá để khắc phục 2 lỗ hổng zero-day trên trình duyệt web Firefox.

​

Các lỗ hổng này đã bị khai thác và báo cáo trong cuộc thi Pwn2Own Vancouver 2024.

Người chiến thắng cuộc thi là Manfred Paul đã tìm ra lỗ hổng CVE-2024-29943, cho phép thực thi mã từ xa và thoát khỏi cơ chế bảo mật của Firefox bằng cách sử dụng lỗ hổng CVE-2024-29944.

Lỗ hổng đầu tiên là CVE-2024-29943, cho phép kẻ tấn công đọc hoặc ghi ngoài giới hạn (out-of-bountrên một đối tượng JavaScript bằng cách lừa việc loại bỏ kiểm tra giới hạn dựa trên phạm vi. Điều này cho kẻ phép tấn công thực hiện các hoạt động không hợp lệ trên bộ nhớ và dữ liệu, đe dọa tính toàn vẹn của hệ thống.

Lỗ hổng thứ hai là CVE-2024-29944 liên quan đến việc thực thi mã JavaScript đặc quyền thông qua cơ chế xử lý sự kiện (event handlers). Kẻ tấn công có thể sử dụng lỗ hổng này để thực thi mã độc trong quy trình gốc của trình duyệt Firefox Desktop, đe dọa bảo mật hệ thống và dữ liệu trên máy tính.

Hiện Mozilla đã phát hành phiên bản Firefox 124.0.1 và Firefox ESR 115.9.1 để khắc phục các lỗ hổng trên và ngăn chặn các cuộc tấn công thực thi mã từ xa nhắm vào các trình duyệt web chưa được vá trên thiết bị máy tính để bàn.

Theo Bleeping Computer​