WhiteHat News #ID:2018
WhiteHat Support
-
20/03/2017
-
129
-
443 bài viết
Bản cập nhật Firefox 74 vá nhiều lỗ hổng
Mozilla vừa phát hành Firefox 74 phiên bản hoàn chỉnh có kèm theo một số cải tiến an ninh, bao gồm các bản vá, chính sách add-on mới, chính sách riêng tư được nâng cấp và mặc định tắt giao thức TLS (Transport Layer Security) phiên bản 1.0 và 1.1.
TLS 1.0 và TLS 1.1 được cho là tồn tại các lỗ hổng dễ bị tấn công BEAST, CRIME và POODLE. Tháng trước, Mozilla thông báo kế hoạch để vô hiệu hóa hai phiên bản này trong trình duyệt Firefox và chỉ cho phép các kết nối sử dụng TLS 1.2 và TLS 1.3.
Việc vô hiệu hóa này không ảnh hưởng đến các website hỗ trợ từ phiên bản TLS 1.2 trở lên nhưng dẫn đến một thông điệp lỗi được hiển thị với các trang sử dụng giao thức phiên bản cũ. Một tùy chọn sẽ được hiển thị cho phép người dùng lựa chọn TLS 1.0 và TLS 1.1.
Khuyến cáo ngừng sử dụng các phiên bản TLS cũ đã được đưa ra từ vài năm trước, nhưng một số quản trị website vẫn chưa cập nhật giao thức mới hơn. Do vậy, thay đổi trong Firefox 74 được hy vọng sẽ khuyến khích quản trị viên cải thiện tính bảo mật cho website và người dùng.
Với bản cập nhật mới, Mozilla đã cải thiện khả năng quản lý đăng nhập trình duyệt đồng thời nâng cao tính riêng tư đối với các cuộc gọi thoại và video qua web của người dùng thông qua việc hỗ trợ mDNS ICE bằng cách giấu các địa IP theo những kịch bản WebRTC cụ thể.
Trình duyệt này cũng cho phép người dùng loại bỏ những add-on (tiện ích) của bên thứ 3 và ngừng cho phép các ứng dụng cài đặt add-on.
Firefox 74 gồm các bản vá cho hàng tá lỗ hổng, bao gồm 5 lỗi ở mức nghiêm trọng cao, 6 lỗi ở mức độ trung bình và một lỗi ở mức độ thấp.
Ba lỗ hổng ở mức độ nghiêm trọng cao được xử lý gồm:
Các lỗ hổng ở mức độ nghiêm trọng trung bình được vá bao gồm CVE-2020-6808 (giả mạo URL qua javascript: URL), CVE-2020-6809 (các tiện ích mở rộng với quyền truy cập tất cả các URL có thể truy cập các file cục bộ) và CVE-2020-6810 (dùng một popup để che thông báo về việc trình duyệt đang chạy ở trạng thái toàn màn hình).
Ngoài ra, Mozilla còn vá lỗi CVE-2020-6811 (lỗ hổng trong tính năng 'Copy as cURL' của devtools’, có thể dẫn đến tấn công command injection), CVE-2019-20503 (lỗi đọc ngoại vi (out of bounds read) trong sctp_load_addresses_from_init) và CVE-2020-6812 (các website với quyền camera hoặc microphone có thể truy cập tên các AirPods với thông tin nhận dạng cá nhân).
Lỗi ở mức độ nghiêm trọng thấp là CVE-2020-6813, xảy ra khi các câu lệnh @import trong CSS có thể cho phép kẻ tấn công qua mặt Chính sách an ninh nội dung.
Việc vô hiệu hóa này không ảnh hưởng đến các website hỗ trợ từ phiên bản TLS 1.2 trở lên nhưng dẫn đến một thông điệp lỗi được hiển thị với các trang sử dụng giao thức phiên bản cũ. Một tùy chọn sẽ được hiển thị cho phép người dùng lựa chọn TLS 1.0 và TLS 1.1.
Khuyến cáo ngừng sử dụng các phiên bản TLS cũ đã được đưa ra từ vài năm trước, nhưng một số quản trị website vẫn chưa cập nhật giao thức mới hơn. Do vậy, thay đổi trong Firefox 74 được hy vọng sẽ khuyến khích quản trị viên cải thiện tính bảo mật cho website và người dùng.
Với bản cập nhật mới, Mozilla đã cải thiện khả năng quản lý đăng nhập trình duyệt đồng thời nâng cao tính riêng tư đối với các cuộc gọi thoại và video qua web của người dùng thông qua việc hỗ trợ mDNS ICE bằng cách giấu các địa IP theo những kịch bản WebRTC cụ thể.
Trình duyệt này cũng cho phép người dùng loại bỏ những add-on (tiện ích) của bên thứ 3 và ngừng cho phép các ứng dụng cài đặt add-on.
Firefox 74 gồm các bản vá cho hàng tá lỗ hổng, bao gồm 5 lỗi ở mức nghiêm trọng cao, 6 lỗi ở mức độ trung bình và một lỗi ở mức độ thấp.
Ba lỗ hổng ở mức độ nghiêm trọng cao được xử lý gồm:
- CVE-2020-6805: lỗi use-after-free (lỗi trong khâu xử lý bộ nhớ).
- CVE-2020-6806: thiếu cơ chế bảo vệ để ngăn chặn việc gây rối trạng thái trong BodyStream::OnInputStreamReady
- CVE-2020-6807: lỗi use-after-free trong cubeb.
Các lỗ hổng ở mức độ nghiêm trọng trung bình được vá bao gồm CVE-2020-6808 (giả mạo URL qua javascript: URL), CVE-2020-6809 (các tiện ích mở rộng với quyền truy cập tất cả các URL có thể truy cập các file cục bộ) và CVE-2020-6810 (dùng một popup để che thông báo về việc trình duyệt đang chạy ở trạng thái toàn màn hình).
Ngoài ra, Mozilla còn vá lỗi CVE-2020-6811 (lỗ hổng trong tính năng 'Copy as cURL' của devtools’, có thể dẫn đến tấn công command injection), CVE-2019-20503 (lỗi đọc ngoại vi (out of bounds read) trong sctp_load_addresses_from_init) và CVE-2020-6812 (các website với quyền camera hoặc microphone có thể truy cập tên các AirPods với thông tin nhận dạng cá nhân).
Lỗi ở mức độ nghiêm trọng thấp là CVE-2020-6813, xảy ra khi các câu lệnh @import trong CSS có thể cho phép kẻ tấn công qua mặt Chính sách an ninh nội dung.
Theo SecurityWeek