Se você é usuário do navegador Mozilla Firefox, deve aplicar imediatamente a nova atualização que corrige dois problemas de zero-day descobertos. Os dois bugs que estão sendo explorados ativamente por hackers. A versão foi denominada Firefox 74.0.1 que corrige as duas falhas zero-day.
Firefox recebe correções por duas falhas zero-day
As correções estão disponíveis no Firefox 74.0.1, lançado ainda na sexta-feira (02/04). Esta nova versão do Firefox inclui correções para CVE-2020-6819 e CVE-2020-6820, dois erros que residem na maneira como o Firefox gerencia seu espaço de memória.
Os bugs são referentes às vulnerabilidades de user-after-free, que permitem aos hackers inserir código na memória do Firefox e executá-lo no contexto do navegador. Esses bugs podem ser explorados para executar o código nos dispositivos da vítima, embora o impacto e o alcance desse código geralmente variem.
Detalhes sobre os ataques reais em que esses dois bugs estão sendo explorados ainda são mantidos em sigilo. No entanto, esta é uma prática comum entre fornecedores de software e pesquisadores de segurança, pois eles se concentram em fornecer os patches primeiro e depois investigar mais os ataques.
Quem descobriu
A Mozilla creditou à empresa de segurança JMP Security e pesquisador de segurança Francisco Alonso a descoberta das falhas do dia zero.
Em um tweet, Alonso sugeriu que os bugs descobertos agora também podem afetar outros navegadores, embora não esteja claro se esses navegadores também foram explorados.
Update to Firefox 74.0.1 and ESR 68.6.1. We (@javutin) reported two 0-days exploited in the wild. Thanks to @mozilla for quick fixes and hard work. 1/n https://t.co/00V9gyYVXo
— Francisco Alonso (@revskills) April 3, 2020
Ainda há muito trabalho a ser feito e mais detalhes a serem publicados (incluindo outros navegadores). Fique ligado.
Contudo, este é o segundo dia zero que a Mozilla corrige no Firefox este ano. Da mesma forma, em janeiro foi corrigido outro bug, com o lançamento do Firefox v72.0.1. Esse bug foi explorado para atacar usuários na China e no Japão como parte de uma campanha de espionagem cibernética patrocinada pelo estado, de acordo com relatórios publicados pelo Qihoo 360 e Japan CERT.
ZDNet