Mozilla parcheó dos vulnerabilidades de día cero del navegador Firefox explotadas activamente en la naturaleza. Las fallas, ambos errores sin uso, han sido parte de «ataques dirigidos en la naturaleza», según un aviso de seguridad de la Fundación Mozilla publicado el viernes.
Ambos errores tienen clasificaciones críticas. Permiten a los atacantes remotos ejecutar código arbitrario. También provocar bloqueos en máquinas que ejecutan versiones del navegador anteriores a 74.0.1 y su versión de soporte extendido Firefox 68.6.1. Los errores afectan las versiones del navegador que se ejecutan en los sistemas operativos Windows, MacOS y Linux. Los detalles son escasos sobre cómo cualquiera de los errores (CVE-2020-6819 y CVE-2020-6820) están siendo explotados específicamente por los adversarios.
Rastreados como CVE-2020-6819 y CVE-2020-6820
Rastreado como CVE-2020-6819, este error es una vulnerabilidad gratuita de uso posterior vinculada al componente del navegador «destructor nsDocShell». La segunda vulnerabilidad, rastreada como CVE-2020-6820, también es un error sin uso que se explota activamente en la naturaleza. En este caso, los atacantes apuntan al componente del navegador Firefox ReadableStream, una interfaz de la API de Streams. La API de Streams es «responsable de dividir un recurso que desea recibir en una red en pequeños trozos», según Mozilla.
«La explotación exitosa de la más grave de estas vulnerabilidades podría permitir la ejecución de código arbitrario», según un boletín del Centro de Seguridad de Internet. «Dependiendo de los privilegios asociados con el usuario, un atacante podría instalar programas; ver, cambiar o eliminar datos; o crear nuevas cuentas con plenos derechos de usuario. Los usuarios cuyas cuentas están configuradas para tener menos derechos de usuario en el sistema podrían verse menos afectados que aquellos que operan con derechos de usuario administrativos».
Los parches están disponibles para múltiples versiones del navegador Firefox, incluidos: Firefox 74.0.1 para Windows de 64 bits, Firefox 74.0.1 para Windows de 32 bits, Firefox 74.0.1 para MacOS, Firefox 74.0.1 para Linux de 64 bits y Firefox 74.0.1 para Linux de 32 bits.
Origen: Las fallas de Firefox de día cero explotadas en la naturaleza quedan remendadas | Poste de amenaza
Requerido instalar la aplicación de Firefox y no me permite el sistema