02. 12. 2016

Vývojáři společnosti Firefox vydali nové verze prohlížečů Mozilla Firefox a Mozilla Firefox ESR, ve kterých je opravena kritická zranitelnost nultého dne. Ta se vyskytovala pouze ve verzi pro OS Windows a podle dostupných informací je velmi podobná chybě, kterou v roce 2013 zneužila bezpečnostní služba FBI pro deanonymizaci návštěvníků stránek s dětskou pornografií v síti Tor. Zranitelnost tak může být zneužita i proti uživatelům prohlížeče Tor Browser.

POPIS ZRANITELNOSTI

Zranitelnost je způsobena chybou use-after-free v komponentě "SVG Animation", která umožňuje použití části bloku paměti a následné spuštění podvrhnutého kódu.  Ke zneužití zranitelnosti mohlo v prohlížeči dojít, jen pokud bylo povolené spouštění javascriptových kódů.

POSTIŽENÉ APLIKACE

  • Mozilla Firefox do verze 50.0.1 včetně
  • Mozilla Firefox ESR do verze 45.5.0 včetně
  • Thunderbird do verze 45.5.0 včetně

DOPAD ZRANITELNOSTI

Při úspěšném zneužití této zranitelnosti může útočník vzdáleně spustit libovolný kód

ŘEŠENÍ

Doporučujeme aktualizovat prohlížeč Mozilla Firefox na nejnovější verzi 50.0.2. V případě prohlížeče Mozilla Firefox ESR a e-mailového klienta Thunderbird na verzi 45.5.1. Nové verze jsou dostupné od 30.11.2016. Dočasně se lze též chránit zakázaním spouštění javaskriptových kódů, nebo používáním doplňků typu NoScript. 

CVE

CVE-2016-9079

ODKAZY A ZDROJE

http://arstechnica.com/security/2016/11/firefox-0day-used-against-tor-users-almost-identical-to-one-fbi-used-in-2013/
http://arstechnica.com/security/2016/11/tor-releases-urgent-update-for-firefox-0day-thats-under-active-attack/
https://lists.torproject.org/pipermail/tor-talk/2016-November/042639.html
https://www.mozilla.org/en-US/security/advisories/mfsa2016-92/
https://www.root.cz/zpravicky/zranitelnost-firefoxu-umoznuje-na-windows-spustit-skodlivy-kod/
https://www.csirt.gov.sk/informacna-bezpecnost/oznamenia-a-varovania-803.html?id=150
http://www.instaluj.cz/magazin/tor-a-firefox-jsou-opet-zranitelne