Graças a uma atualização recente, a Mozilla corrigiu uma falha zero-day no Firefox e Thunderbird, que estava sendo explorada.
A Mozilla lançou recentemente atualizações de segurança de emergência para corrigir uma vulnerabilidade zero-day crítica que estava sendo explorada, impactando seu navegador Firefox e cliente de e-mail Thunderbird.
Mozilla corrigiu uma falha zero-day no Firefox e Thunderbird
Rastreada como CVE-2023-4863, a falha de segurança é causada por um estouro de buffer de heap na biblioteca de códigos WebP (libwebp), cujo impacto abrange desde travamentos até execução arbitrária de código.
“Abrir uma imagem WebP maliciosa pode levar a um estouro de buffer no processo de conteúdo. Estamos cientes de que esse problema está sendo explorado em outros produtos”, disse a Mozilla em um comunicado publicado na terça-feira.
A Mozilla abordou o zero-day explorado no Firefox 117.0.1, Firefox ESR 115.2.1, Firefox ESR 102.15.1, Thunderbird 102.15.1 e Thunderbird 115.2.2.
Embora detalhes específicos sobre a exploração da falha WebP em ataques permaneçam não divulgados, esta vulnerabilidade crítica está sendo abusada em cenários do mundo real.
Portanto, os usuários são fortemente aconselhados a instalar versões atualizadas do Firefox e do Thunderbird para proteger seus sistemas contra possíveis ataques.
Como a Mozilla revelou no comunicado de segurança de hoje, a zero-day CVE-2023-4863 também afeta outros softwares que usam a versão vulnerável da biblioteca de códigos WebP.
Um deles é o navegador Google Chrome, que foi corrigido contra essa falha na segunda-feira, quando o Google alertou que está “ciente de que existe uma exploração para CVE-2023-4863 à solta”.
As atualizações de segurança do Chrome estão sendo lançadas para usuários nos canais estável estável e estendido e devem atingir toda a base de usuários nos próximos dias ou semanas.
A equipe de Engenharia e Arquitetura de Segurança (SEAR) da Apple e o Citizen Lab da Munk School da Universidade de Toronto foram os que relataram o bug em 6 de setembro.
Os pesquisadores de segurança do Citizen Lab também têm um histórico de identificação e divulgação de vulnerabilidades zero-day frequentemente exploradas em campanhas de espionagem direcionadas lideradas por agentes de ameaças afiliados ao governo.
Estas campanhas centram-se normalmente em indivíduos que correm um risco significativo de ataque, incluindo jornalistas, políticos da oposição e dissidentes.
Na quinta-feira, a Apple também corrigiu dois dias zero marcados pelo Citizen Lab como explorados em estado selvagem como parte de uma cadeia de exploração chamada BLASTPASS para implantar o spyware mercenário Pegasus do Grupo NSO em iPhones totalmente corrigidos.
Mais recentemente, os patches BLASTPASS também foram transferidos para modelos de iPhone mais antigos, incluindo modelos de iPhone 6s, iPhone 7 e a primeira geração do iPhone SE.
