Разработчики Mozilla выпустили экстренные обновления, чтобы исправить критическую уязвимость нулевого дня, которая уже использовалась хакерами и затрагивала браузер Firefox и почтовый клиент Thunderbird. Ту же проблему, связанную библиотекой WebP (libwebp), ранее исправили в своих продуктах специалисты Google.
Критический баг имеет идентификатор CVE-2023-4863 и связан с переполнением буфера хипа WebP. Известно, что последствия от эксплуатации этой уязвимости могут варьироваться от сбоев до удаленного выполнения произвольного кода.
«Открытие вредоносного изображения WebP может привести к переполнению буфера хипа в процессе обработки контента. Нам известно, что эта проблема уже эксплуатируется в других продуктах», — сообщают разработчики Mozilla в своем бюллетене безопасности.
Mozilla устранила уязвимость в составе Firefox 117.0.1, Firefox ESR 115.2.1, Firefox ESR 102.15.1, а также в Thunderbird 102.15.1 и Thunderbird 115.2.2.
Опенсорсная библиотека libwebp, разработанная Google, обрабатывает изображения WebP. То есть любое приложение, которое использует упомянутую библиотеку для работы с изображениями WebP (будь то Chrome, Edge, Firefox и так далее), потенциально может быть атаковано чрез специально подготовленное изображение.
Напомним, что ранее эту уязвимость, связанную с WebP, исправили в браузере Google Chrome, а специалисты компании предупредили, что им известно о существовании эксплоита для CVE-2023-4863. При этом за обнаружение проблемы в компании поблагодарили коллег из Apple Security Engineering and Architecture (SEAR).
Также на прошлой неделе внеплановые обновления, устраняющие две 0-day уязвимости, которые уже использовались в атаках на пользователей iPhone и Mac, выпустила компания Apple. Ошибки и получили идентификаторы CVE-2023-41064 и CVE-2023-41061.
Сообщалось, что CVE-2023-41064 представляет собой уязвимость, связанную с переполнением буфера, срабатывает при обработке вредоносных изображений и может привести к выполнению произвольного кода на непропатченных устройствах.
Тогда специалисты Citizen Lab писали, что проблемы CVE-2023-41064 и CVE-2023-41061 активно применялись злоумышленниками и являлись частью цепочки zero-click эксплоитов для iMessage, которая получила название BLASTPASS. Эксперты считают, что эти уязвимости использовались для распространения шпионского ПО Pegasus, созданного NSO Group.
Хотя пока о прямой связи между CVE-2023-4863 и уязвимостями, исправленными Apple, не сообщалось, время выхода патчей, благодарность специалистам Apple SEAR и схожие типы уязвимостей намекают на то, что между этими проблемами может быть много общего.
