Mozilla dicht actief misbruikte zeroday in Firefox

Mozilla heeft een kritieke zeroday gedicht in zijn browser Firefox. De kwetsbaarheid laat aanvallers eigen code uitvoeren en wordt al actief misbruikt door kwaadwillenden, waarschuwt het bedrijf. Het advies is om de update zo snel mogelijk te installeren.

De kwetsbaarheid, CVE-2024-9680, zit in Animation timeline, een mechanisme dat animaties op websites bestuurt en synchroniseert. Mozilla stelt in een security advisory dat het gaat om een use-after-freefout, een probleem gerelateerd aan onjuist gebruik van dynamisch geheugen. Aanvallers kunnen de fout gebruiken om eigen code op getroffen systemen uit te voeren.

Het probleem doet zich voor in zowel de standaard release van Firefox als in releases met uitgebreide ondersteuning, ook wel ESR genoemd. Mozilla heeft het probleem opgelost met een fix die voor drie versies beschikbaar is: Firefox 131.0.2, Firefox ESR 115.16.1 en Firefox ESR 128.3.1.

Reacties (27)

[patchii]

Zou het uitschakelen van JavaScript met ublock origin oid misbruik tegen gaan voor zoiets?

[Ghoulli]

Nee, Animation-timeline is een CSS property: https://developer.mozilla...eb/CSS/animation-timeline

[Verwijderd]

zijn er nog sites die dan nog werken met js uit?

[patchii]

Niet veel. Ik had wel een tijd dat ik alleen bij "vertrouwde" sites JavaScript aan had staan (YouTube, reddit, tweakers, etc. (al hoewel als deze sites gehackt wordt heb je er alsnog niks aan, zie bijvoorbeeld archive.org)) Maar het is dan toch al heel snel dat je een link opent naar een andere site dat je weer zit te kloten met JavaScript aan of uit zetten. Het kan zeker maar hoe vrolijk je er van wordt...

[Sternis]

Een dergelijke fout zou met Rust niet meer mogen optreden.
Helaas is pas 11,7 % van Firefox geschreven in Rust.

[Verwijderd]

En ik maar denken dat de CSS styling al volledig in Rust gebeurde sinds FF 57 (Zie 'CSS' onder 'shipped': https://wiki.mozilla.org/Oxidation)

[bkor]

Het deel met de fout lijkt gewoon in C++ geschreven te zijn. Na een beetje zoeken heb lijkt dit de patch te zijn. Had voor het vinden van de patch makkelijker geweest dat de Bugzilla bug openbaar gemaakt was (nu nog gesloten).

[Hobbit13]

Zit deze bug ook in de Tor-Browser? Daar lijken me dit soort zaken nog wat erger, kans dat je daar gevoelige info kunt achterhalen is nog veel groter dan bij "normale" gebruikers van Firefox.

[atthias]

ja is al een update voor uit download: Tor Browser 13.5.7

[nout77]

Toch altijd even schrikken dat zo'n RCE zero day met CVSS van 9.8 in het wild wordt misbruikt. En hoe lang wordt deze al misbruikt? Dat blijft gissen natuurlijk.. Gevonden door het Slowaakse ESET security bedrijf.

Gelukkig dat het bij Firefox heel erg meevalt met het aantal kritieke kwetsbaarheden. De laatste was 7 maanden terug gevonden op Pwn2Own en vrijwel direct gepatcht, zie: https://www.security.nl/p...md+tegen+Pwn2Own-zerodays

[Reactie gewijzigd door nout77 op 10 oktober 2024 12:41]

[Ducksy88]

LMFTFY "...erg meevalt met de ontdekte/geopenbaarde kwetsbaarheden."

[Stollie]

De uitrol naar de Microsoft Store versie gaat wel traag zeg.
https://apps.microsoft.com/detail/9nzvdkpmr9rd

Als je kijkt naar 131.0 kwam die op de 1-10 uit en bij de MS Store was dat 5-10.

[wernert]

"Het probleem doet zich voor in zowel de standaard release van Firefox als in releases met uitgebreide ondersteuning, "

Lijkt me een letterlijke vertaling van 'extended release', en 'verlengde ondersteuning' is dan een betere vertaling. https://software.umich.edu/titles/firefox-esr

(Als je een 'uitgebreide hightea' bestelt, verwacht je nog meer lekkere dingen dan normaal. Niet een hightea die veel langer mag duren dan de 3 uur van de reservering. )

[Martijn.C.V]

@EvelineM Suggestie: after-freefout" las voor mij erg lastig: engels-engels-engelsnederlands, suggesties:
use-after-free fout
"use-after-free"-fout ( of 'use-after-free'-fout, thanks @PCG2020 )
use-after-free fout
use-after-freefout
use-after-free-fout
UAF-kwetsbaarheid, met UAF onderstreept (thanks @dasiro)

Ik las dit (als programmeur) als "use after free f out" en liep vast in wat de F dan zou moeten betekenen

[Reactie gewijzigd door Martijn.C.V op 10 oktober 2024 14:31]

[EvelineM]

Haha, ik snap je verwarring, maar da's volgens de Nederlandse regels wel hoe we het schrijven, ben ik bang. De regel hier is om zoveel mogelijk aan elkaar te schrijven, tenzij je dan een wirwar van klinkers krijgt o.i.d. In dit geval is het in principe goed te lezen (al snap ik je verwarring wel), dus we laten het toch wel zo staan.

[Grrrrrene]

Heel vroegah, toen ik zelf nog nieuwsberichten schreef voor T.net, hadden we de regel om tussen Engelse termen en Nederlandse woorden een koppelstreepje te zetten. Dat vond ik veel duidelijker lezen dan een woord waar halverwege van taal wordt gewisseld. Is dat echt "volgens de Nederlandse regels"? Als in: het groene boekje o.i.d.? Volgens Onzetaal.nl mag je wel degelijk een koppelstreepje gebruiken als dat de leesbaarheid bevordert.

[EvelineM]

Ik ken die regel ook, inderdaad. Maar goed, ik heb de eindredactie nog even gevraagd en de conclusie is dat dit wel de juiste schrijfwijze is. Ik krijg deze verwijzing mee: https://woordenlijst.org/zoeken/?leidraad=6-6

Dus ik ben bang dat het wel zo blijft staan!

[R4gnax]

Opmerkelijk dat jullie redactie dan niet op de hoogte is van
https://woordenlijst.org/zoeken/?leidraad=12-1

Dit geval valt nl. onder een bevordering van de leesbaarheid zoals knowhowovereenkomst vs knowhow-overeenkomst.

En valt ook onder uitzonderingsregel 12.C punt b) waar het een gelegenheidsontlening betreft. Deze blijven behandeld alsof in de originele taal en dienen in losse woorden geschreven te worden, met de ontlening cursief. Dus niet "use-after-freefout" maar "use after free fout" in dit geval, of aangezien use-after-free een samengesteld bijvoeglijk naamwoord is in het Engels en dus in de originele taal goed gevormd is: een "use-after-free fout."

(En ja; technisch vak-jargon is echt een gelegenheidsontlening. Dat kun je met geen mogelijkheid beschouwen als proper ingeburgerde 'ver-Nederlandste' leenwoorden.)

[Reactie gewijzigd door R4gnax op 10 oktober 2024 20:00]

[EvelineM]

Dit zijn echt zaken die met de eindredactie opgenomen moeten worden, ben ik bang. We hebben een mooi topic dat gaat over spelling en grammatica, daar kunnen dit soort opmerkingen verder gedeeld worden (en daar ziet de eindredactie het ook): forumtopic: Meld hier spel- en tikfoutjes - en dus *geen* andere foutjes

[Aschtra]

Niet op ingaan! Men moet melden in het bestemde topi

[EvelineM]

Dat is zeker waar!

[deadlock2k]

Hier stond eerst iets maar ik onthoud me toch van commentaar omdat ik toch niet geheel zeker ben van m'n zaak.

[Ossi]

Hoewel dat op zich klopt, lees ik hier ook dat een koppelteken gebruiken het wel veel leesbaarder maakt. Misschien iets om toch weer eens bij de redactie onder ogen te brengen.
https://onzetaal.nl/taall...nederlandse-samenstelling

[PCG2020]

Als ze het goed wil doen, zou het 'use-after-free'-fout moeten worden. Anderstalige termen worden in het Nederlands doorgaans tussen enkele aanhalingstekens gezet. Maar jouw suggestie zou de leesbaarheid inderdaad ten goede komen.

[Randfiguur]

Anderstalige termen worden in het Nederlands doorgaans tussen enkele aanhalingstekens gezet.

Is dat zo? Cursief is ook heel populair. Het staat een organisatie/medium uiteraard vrij om consequent voor aanhalingstekens te kiezen. Nadeel is wel dat dat teksten op een technologiewebsite als Tweakers dan vol aanhalingstekens (of cursieve tekst) komt te staan. Dat leest allesbehalve prettig en ik kan me voorstellen dat die overweging meespeelt bij de huidige redactionele lijn.

[PCG2020]

Cursief kan (en mag) bij een eerste vermelding van een anderstalige of onbekende term inderdaad ook. In het geval van 'use-after-free'-fout (of use-after-free-fout) is het ook de enige vermelding in het artikel. Verdere vermeldingen, wanneer aanwezig, zouden als use-after-free-fout geschreven moeten worden, omdat er in de Engelse term ook streepjes staan. Dat laatste wist ik niet meer zeker en moest ik ook weer even opzoeken.

(Wat die @Martijn.C.V met zijn reactie allemaal opgeroepen heeft, haha )

[dasiro]

UAF-kwetsbaarheid waarbij de afkorting gestippeld onderlijnd wordt om de volledige benaming weer te geven. Wordt ook gedaan in vele andere artikelen, zelfs hier op t.net