Mozilla heeft ook de tweede zerodaykwetsbaarheid in Firefox die actief misbruikt werd, verholpen. Deze patch is voor een lek dat het mogelijk maakte de sandbox te verlaten, waardoor in combinatie met andere kwetsbaarheden code op getroffen computers was uit te voeren.
De patch voor kwetsbaarheid CVE-2019-11708 brengt Firefox naar versie 67.0.4 en Firefox ESR naar 60.7.2. Mozilla licht toe dat de parameters voor Prompt:Open-berichten niet voldoende gecontroleerd werden, waardoor kwaadwillenden webinhoud konden openen zonder de restricties van de sandbox.
In combinatie met het woensdag gedichte zerodaylek zorgde deze sandbox escape ervoor dat aanvallers willekeurige code konden uitvoeren op getroffen systemen. Simpelweg een webpagina met kwaadaardige code was voldoende om een geslaagde aanval in gang te zetten.
Medewerkers van de beurs voor cryptovaluta Coinbase werden aangevallen via de twee kwetsbaarheden, zo ontdekte het bedrijf maandag. Coinbase wist de aanval af te slaan en lichtte Mozilla in, meldt de chief information security officer van het bedrijf, Philip Martin. Coinbase zou niet de enige organisatie op het gebied van cryptovaluta zijn die is aangevallen. De beurs komt op korte termijn met meer details over de aanval.
:strip_exif()/i/2003150524.png?f=thumbmedium)
/i/2003074078.png?f=fpa)
/i/1347363581.png?f=fpa)
/i/2002832222.png?f=fpa)
/i/2001719489.png?f=fpa)
:strip_icc():strip_exif()/u/261244/avatar4-64x64.jpg?f=community){kind=avatar}
/u/367878/crop68203cf741501_cropped.png?f=community){kind=small}
/u/290755/crop5df8dd10bad1e_cropped.png?f=community){kind=small}
:strip_exif()/u/16970/crop57cd1ef1eb0d0.gif?f=community){kind=small}
:strip_icc():strip_exif()/u/418610/crop57bbf79ba626a.jpeg?f=community){kind=small}