Lale Çorumlu

Mozilla, popüler Firefox web tarayıcısını ve Thunderbird posta programını etkileyen 18 güvenlik açığını ele aldı.

Mozilla, web tarayıcısında ve Thunderbird posta programında 18 güvenlik açığını ele alan Firefox 96'yı piyasaya sürdü. Yeni sürüm tarafından ele alınan dokuz güvenlik açığı yüksek önem derecesine sahiptir, en ciddi olanı CVE-2022-22746 olarak izlenen bir yarış durumu sorunudur.

"Bir yarış durumu, tam ekran bir pencere sahtekarlığının fark edilmemesine neden olabilecek tam ekran bildiriminin atlanmasına izin verebilirdi." Mozilla tarafından yayınlanan danışma belgesini okur.

Güvenlik açığı yalnızca Windows işletim sistemleri için Firefox'u etkiler.

Saldırgan, Windows makinelerinde tam ekran bildirimini atlamak için güvenlik açığından yararlanabilir. Mozilla tarafından düzeltilen bir diğer önemli sorun da, Firefox tarayıcı penceresinde CVE-2022-22743 olarak izlenen tam ekran sahtekarlığıdır. Güvenlik açığı, saldırgan tarafından kontrol edilen bir sekmenin, kullanıcı bir iframe içinden gezinirken tarayıcının tam ekran modundan çıkmasını engellemesine izin verebilir.

Kuruluş tarafından düzeltilen bir başka sorun da, tam ekran modunu ayarlarken açılır pencereyi yeniden boyutlandırırken açılır pencerenin tam ekran modundan çıkmasını engelleyen bir hatadır.

Mozilla tarafından düzeltilen bir diğer sorun, potansiyel olarak istismar edilebilir bir çökmeye yol açan sınır dışı bellek erişimidir, kusur CVE-2022-22742 olarak izlenmiştir.

"Düzenleme modundayken metin eklerken, bazı karakterler, potansiyel olarak istismar edilebilir bir çökmeye neden olan sınır dışı bellek erişimine neden olabilir." danışmanlığını sürdürüyor.

Yukarıdaki güvenlik açıkları, araştırmacılar Irvan Kurniawan tarafından keşfedildi.

Firefox 96 ayrıca CVE-2022-22738 olarak izlenen bir yığın arabellek taşmasına da değindi. Bir CSS filtre efekti uygulamak, sınır dışı belleğe erişmiş olabilir ve bu da, potansiyel olarak istismar edilebilir bir çökmeye neden olan bir yığın arabellek taşmasına neden olabilir.

En son Firefox sürümüyle düzeltilen diğer yüksek riskli kusurlar arasında, sırasıyla CVE-2022-22740 ve CVE-2022-22737 olarak izlenen iki ücretsiz kullanım sonrası kusur ve CVE-2021-4140 olarak izlenen XSLT kullanılarak bir iframe korumalı alan baypası bulunur.

Kuruluş, bir sandbox kaçışı ve Android için Firefox'ta QR kodlarını tararken URL kısıtlamalarının olmaması da dahil olmak üzere Firefox'ta altı orta derecede önem derecesini düzeltti.

Açık kaynak kuruluşu ayrıca Firefox 96 ve Firefox ESR 91.5 ve Thunderbird 91.5'te (CVE-2022-22751) düzeltilen bir dizi bellek güvenlik hatasını düzeltti.

Kaynak: https://securityaffairs.co/wordpress/126671/security/mozilla-firefox-96-release.html