Mozila phát hành bản vá cho lỗ hổng 0-day thứ hai trên Firefox

[WhiteHat News #ID:2018]

Sau khi vá một lỗ hổng nghiêm trọng trên phiên bản Firefox 67.0.3 vào giữa tháng 6/2019, Mozilla tiếp tục cảnh báo hàng triệu người dùng về lỗ hổng zero-day thứ hai được cho là đã bị khai thác trên thực tế.

Lỗi CVE-2019-11708 là lỗ hổng “sandbox escape”, nếu được kết hợp với lỗi bug “type confusion” được vá trước đó (CVE-2019-11707) sẽ cho phép kẻ tấn công từ xa thực thi mã tùy ý trên máy nạn nhân bằng cách dụ họ ghé thăm một website độc hại.

Lỗ hổng zero-day trên Firefox bị khai thác trên thực tế

Lỗ hổng CVE-2019-11707 được thông báo cho Mozila từ tháng 4. Đến tuần trước, thông tin về lỗ hổng thứ hai CVE-2019-11708 xuất hiện. Trên thực tế, các hacker đã bắt đầu kết hợp hai lỗ hổng này để tấn công nhân viên của nền tảng Coinbase (một trong những sàn giao dịch và nền tảng ví kỹ thuật số hàng đầu trên thế giới) cùng người dùng của các hãng tiền ảo khác.

Mới đây, chuyên gia bảo mật macOS Patrick Wardle đã công bố báo cáo tiết lộ một chiến dịch khác nhằm vào người dùng tiền ảo, lợi dụng lỗ hổng zero-day trên Firefox để cài cắm malware vào hệ điều hành macOS trên các máy tính mục tiêu.

Hiện tại, vẫn chưa rõ liệu kẻ tấn công tự tìm ra lỗ hổng đầu tiên hay bằng cách nào đó đã có được thông tin về lỗ hổng này.

Cài đặt bản vá để phòng ngừa tấn công mạng

Firefox đã phát hành phiên bản Firefox 67.0.4 và Firefox ESR 60.7.2 để xử lý lỗ hổng, ngăn chặn kẻ tấn công thực hiện chiếm quyền kiểm soát máy tính từ xa.

Dù Firefox đã tự động cập nhật phiên bản mới nhất, nhưng người dùng vẫn được khuyến cáo đảm bảo mình đang dùng phiên bản Firefox 67.0.4 hoặc cao hơn.

Tor Project đã phát hành bản cập nhật thứ 2 (Tor Browser 8.5.3) cho trình duyệt web bảo mật của mình và vá lỗi Firefox thứ 2.

Theo The Hacker News​