פגיעות אבטחה קריטית, CVE-2024-9680, התגלתה ב-Firefox וב-Firefox Extended Support Release (ESR). פגיעות זו מנוצלת באופן פעיל ברחבי הרשת ומעמידה את המשתמשים בסיכון להרצת קוד מרחוק (RCE). הבעיה נובעת מבאג use-after-free ברכיב ציר הזמן של האנימציה בדפדפן.
לפגיעות זו ניתן ציון CVSS של 9.8, מה שמעיד על רמת חומרה קריטית. מומלץ בחום לעדכן את הדפדפן לגרסה העדכנית ביותר כדי לצמצם את הסיכון.
פרטים עיקריים
- מזהה פגיעות: CVE-2024-9680
- ציון CVSS: 9.8 (קריטי)
- רכיב פגוע: רכיב ציר הזמן של האנימציה ב-Firefox
- סוג: פגיעות use-after-free
- מנוצלת בפועל: כן
- השפעה: הרצת קוד מרחוק (RCE)
השפעת הניצול
תוקף יכול לנצל פגיעות זו כדי להריץ קוד שרירותי בתוך תהליך התוכן של הדפדפן. פעולה זו עשויה לאפשר לתוקפים להתקין נוזקות או לקבל גישה לא מורשית למערכת של הקורבן.
Mozilla מסרה כי קיבלה "שרשרת ניצול מלאה" מ-ESET, המדגימה כיצד ניתן להשתמש בפגיעות זו כדי לבצע RCE על מחשב יעד. למרות ששיטות הניצול הספציפיות לא פורסמו, וקטורי התקיפה הנפוצים כוללים:
- מתקפות Watering hole: מיקוד באתרים מסוימים כדי להדביק מבקרים.
- קמפיינים של הורדות Drive-by: הטעיית משתמשים לביקור באתרים זדוניים.
גרסאות פגועות
הגרסאות הבאות של Firefox ו-Firefox ESR פגיעות:
- Firefox 131.0.1 וכל הגרסאות הקודמות.
- Firefox ESR 128.3.0 וכל הגרסאות הקודמות.
- Firefox ESR 115.16.0 וכל הגרסאות הקודמות.
גרסאות מתוקנות
הבעיה טופלה בגרסאות הבאות:
- Firefox 131.0.2
- Firefox ESR 128.3.1
- Firefox ESR 115.16.1
יש לעדכן לגרסאות אלו או חדשות יותר כדי להבטיח הגנה מהפגיעות.
המלצות
כדי להגן מפני פגיעות קריטית זו, מומלץ:
-
לעדכן לגרסה העדכנית ביותר של Firefox או Firefox ESR מיד:
- משתמשי Firefox צריכים לעדכן ל-131.0.2.
- משתמשי Firefox ESR צריכים לעדכן ל-128.3.1 או 115.16.1.
-
בדקו את גרסת הדפדפן על ידי ניווט אל
עזרה > אודות Firefoxכדי לוודא שאתם משתמשים בגרסה מתוקנת.
