Szerző: Hlács Ferenc

2019. június 21. 11:00

Újabb zero-day hibát foltoz a Firefoxban a Mozilla

A sebezhetőséget a napokban jelentett másik biztonsági réssel együtt használták ismeretlen támadók, egyebek mellett a Coinbase dolgozói ellen.

Alig telt el két nap azután, hogy Mozilla befoltozott egy súlyos zero-day sebezhetőséget a Firefox böngészőben, a szervezet máris újabb zero-day-t javított, amelyet az elsőhöz hasonlóan már aktívan kihasználtak rosszindulatú felek. A soron kívüli frissítés a 67.0.4-es verziószámot viseli, azt, akárcsak a két nappal ezelőtti javítást, késlekedés nélkül érdemes telepíteni.

Az új sérülékenységet ugyanabban a támadássorozatban vetették be, mint az előzőleg foltozott biztonsági rést. A CVE-2019-11708 kód alatt követett hibát, a ZDNet beszámolója szerint a korábbihoz hasonlóan a Coinbase biztonsági csapata jelezte a Mozilla felé. A "sandbox escape" sérülékenység lehetővé tette, hogy illetéktelenek kijussanak a Firefox védett rendszerfolyamatából, és saját kódot futtassanak a böngésző mögött futó operációs rendszeren.

ffoxill

Mindent vivő munkahelyek

Mindig voltak olyan informatikai munkahelyek, melyek nagyon jól fekszenek az önéletrajzban.

Mindent vivő munkahelyek Mindig voltak olyan informatikai munkahelyek, melyek nagyon jól fekszenek az önéletrajzban.

A két sebezhetőséggel egy ismeretlen hackercsoport a lap értesülései szerint a Coinbase dolgozóit vette célba, akiket spear-phishing támadásokkal igyekeztek rávenni a sérülékenységeket kihasználó, kártékony weboldalak meglátogatására. Az oldalakról aztán a támadók rosszindulatú kódot juttattak az áldozatok számítógépeire, amelyekről jelszavakat és egyéb érzékeny adatokat szereztek meg. A támadás több platformot is érintett, macOS és Windows felhasználók is voltak a célpontok között. A támadók heteken keresztül dolgoztak észrevétlenül, a Coinbase biztonsági csapata ezután lett figyelmes az adatlopásra - a vállalat szerint egyébként az akció mögött álló felek más, kriptovalutákkal foglalkozó cégeket is célba vettek. A Coinbase szerint ugyanakkor a támadók kriptopénzt nem tudtak szerezni a bugokon keresztül.

A javítást a Mozilla tehát már mindkét biztonsági rés kapcsán elvégezte, az ugyancsak Firefoxra épülő Tor böngészőnél viszont a második hiba orvoslása még várat magára, noha jó eséllyel a következő napokban utóbbinál is számíthatnak rá a felhasználók. Az első zero-day-t a Tor csapata már befoltozta, a böngésző 8.5.2-es verziójával, aki még nem tette, ezt is érdemes minél előbb telepíteni.

a címlapról