کمیته رکن چهارم – چند آسیب‌پذیری مهم در محصولات فایرفاکس کشف شده است.
چند آسیب‌پذیری در محصولات Mozilla Firefox، Firefox Extended Support Release (ESR) و Mozilla Thunderbird فایرفاکس کشف شده است که مهم‌ترین آن‌ها امکان اجرای کد دلخواه را برای مهاجم فراهم می‌کند. بسته به حق دسترسی‌های مرتبط با کاربر، مهاجم می‌تواند برنامه نصب کند، داده‌ها را مشاهده و آن‌ها را تغییر داده و حذف کند و یا حساب‌های کاربری با حق دسترسی کامل ایجاد کند. کاربرانی که حساب‌هایشان به گونه‌ای پیکربندی شده است که حق دسترسی کمتری در سیستم دارند، نسبت به کاربرانی که با حق دسترسی مدیریتی کار می‌کنند، کمتر تحت تأثیر قرار خواهند گرفت.
آسیب‌پذیری CVE-۲۰۲۲-۳۱۷۳۶: در این آسیب‌پذیری با شدت بالا، یک سایت مخرب می‌تواند اندازه‌ی منابع بین‌سایتی (cross-origin resource) را که از Range requests پشتیبانی می‌کنند به دست آورد.
آسیب‌پذیری CVE-۲۰۲۲-۳۱۷۳۷: در این آسیب‌پذیری با شدت بالا، یک صفحه‌ی وب مخرب می‌تواند موجب نوشتن خارج از محدوده در WebGL شود که خرابی حافظه و از کار افتادن سیستم را منجر می‌شود.
آسیب‌پذیری CVE-۲۰۲۲-۳۱۷۳۸: در این آسیب‌پذیری با شدت بالا، هنگام خروجِ مرورگر از حالت تمام صفحه، یک iframe ممکن است مرورگر را در مورد وضعیت fullscreen فعلی سردرگم کند که می‌تواند منجر به سردرگمیِ کاربر یا حملات spoofing شود.
آسیب‌پذیری CVE-۲۰۲۲-۳۱۷۳۹: در این آسیب‌پذیری با شدت بالا، هنگام بارگیری فایل‌ها در ویندوز، کاراکتر % حذف نمی‌شود، که می‌تواند منجر به ذخیرهی اشتباه فایل‌های دانلودشده در مسیرهای تحت کنترل مهاجم شود که از متغیرهایی مانند %HOMEPATH% یا %APPDATA% استفاده می‌کند.
آسیب‌پذیری CVE-۲۰۲۲-۳۱۷۴۰: در این آسیب‌پذیری با شدت بالا، کد WASM در arm۶۴، می‌تواند موجب تولید اسمبلی نادرست شود که مشکلات تخصیص رجیستر و به صورت بالقوه crash قابل بهره‌برداری سیستم را منجر می‌شود.
آسیب‌پذیری CVE-۲۰۲۲-۳۱۷۴۱: در این آسیب‌پذیری با شدت بالا، یک پیغام CMS ساختگی ممکن است به اشتباه پردازش شده و منجر به خواندن حافظه‌ی نامعتبر شود که می‌تواند به صورت بالقوه خرابی حافظه را به دنبال داشته باشد.
آسیب‌پذیری CVE-۲۰۲۲-۳۱۷۴۷: این آسیب‌پذیری با شدت بالا در واقع نقص ایمنی حافظه در Firefox ۱۰۰ و Firefox ESR ۹۱.۹ است. توسعه‌دهندگان موزیلا به نام‌های Andrew McCreight، Nicolas B. Pierron و تیم Mozilla Fuzzing این باگ‌ها را گزارش کردند. برخی از این باگ‌ها شواهدی از خرابی حافظه را نشان می‌دهند که با تلاش کافی می‌توان از برخی از آن‌ها برای اجرای کد دلخواه استفاده کرد.
آسیب‌پذیری CVE-۲۰۲۲-۳۱۷۴۸: این آسیب‌پذیری با شدت بالا، در واقع نقص ایمنی حافظه در Firefox ۱۰۰ است. توسعه‌دهندگان موزیلا به نام‌های Gabriele Svelto، Timothy Nikkel، Randell Jesup، Jon Coppeard و تیم Mozilla Fuzzing این باگ‌ها را گزارش کردند. برخی از این باگ‌ها شواهدی از خرابی حافظه را نشان می‌دهند که با تلاش کافی می‌توان از برخی از آن‌ها برای اجرای کد دلخواه استفاده کرد.
این آسیب‌پذیری‌ها محصولات زیر را تحت تأثیر قرار می‌دهند:
- Mozilla Firefox نسخه‌های قبل از ۱۰۱.
- Firefox ESR نسخه‌های قبل از ۹۱.۱۰.
- Thunderbird نسخه‌های قبل از ۹۱.۱۰
آسیب‌پذیری‌های مذکور در نسخه‌های Mozilla Firefox ۱۰۱، Firefox ESR ۹۱.۱۰ و Thunderbird ۹۱.۱۰ برطرف شده‌اند. به کاربران و مدیران توصیه می‌شود، هرچه سریع‌تر مرورگر فایرفاکس خود را به نسخه‌های جدید بهروزرسانی کنند.
منبع : مرکز ماهر
