Firefox 104 çıktı - kritik bir hata yok, ancak yine de güncelleyin

Son güncellemeler Apple Safari ve Google Chrome büyük manşetlerde bulundular çünkü zaten vahşi doğada kullanılan gizemli sıfırıncı gün istismarlarını düzelttiler.

Ancak bu hafta, dört haftalık en son Firefox güncellemesini de gördü. her zamanki gibi düştü Salı günü, son programlanmış tam sürüm sayı artış sürümünden dört hafta sonra.

Şimdiye kadar bu güncelleme hakkında yazmadık çünkü iyi haber şu ki…

…bir seviye ile birkaç ilgi çekici ve önemli düzeltmeler olmasına rağmen Yüksek, sıfır gün yoktu, hatta herhangi bir Kritik bu ayki buglar

Bellek güvenlik hataları

Her zamanki gibi, Mozilla ekibi iki kapsamlı CVE numaraları Buggy kodunun kusurlar için otomatik olarak araştırıldığı, belgelendiği ve birinin bu hataların ne kadar istismar edilebilir olabileceğini anlamasını beklemeden yamalandığı fuzzing gibi proaktif teknikler kullanarak buldukları ve düzelttikleri hatalara:

• CVE-2022-38477 ana sürüm tarafından kullanılan kod tabanı olan 102 ve sonraki sürümlerin koduna dayalı olarak yalnızca Firefox derlemelerini etkileyen hataları kapsar, şimdi güncellendi 104.0, ve şu anda geçerli olan birincil Genişletilmiş Destek Sürümü sürümü ESR102.2.
• CVE-2022-38478 Firefox kodunda bulunan ve 91 sürümüne geri dönen ek hataları kapsar, çünkü bu, şu anda geçerli olan ikincil Genişletilmiş Destek Sürümünün temelidir. ESR91.13.

Her zamanki gibi, Mozilla şu basit açıklamayı yapacak kadar açık konuşuyor:

Bu hatalardan bazıları bellek bozulması kanıtı gösterdi ve yeterli çabayla bunlardan bazılarının rastgele kod çalıştırmak için kullanılabileceğini varsayıyoruz.

ESR'nin gizemi çözüldü

Daha önce açıkladığımız gibi, Firefox Genişletilmiş Destek Sürümü güvenlik güncellemelerini kaçırmadıkları sürece özellik güncellemelerini ve işlevsellik değişikliklerini geciktirmeyi tercih eden muhafazakar ev kullanıcıları ve kurumsal sistem yöneticilerine yöneliktir.

ESR sürüm numaraları, hangi özellik setine sahip olduğunuzu ve bu sürüm çıktığından beri kaç güvenlik güncellemesi yapıldığını size söylemek için birleşir.

İçin böylece ESR102.2, elimizde 102+2 = 104 var (mevcut öncü sürüm).

Benzer şekilde, ESR91.13, 91+13 = 104'e sahibiz, açıklığa kavuşturmak için 91 sürümünün yaklaşık bir yıl önceki özellik setine geri dönmesine rağmen, güvenlik yamaları söz konusu olduğunda güncel.

Herhangi bir zamanda iki ESR'nin olmasının nedeni, sürümler arasında önemli bir iki katına çıkma süresi sağlamaktır, bu nedenle, yalnızca güvenlik düzeltmeleri almak için yeni özellikler almaya asla takılmazsınız - her zaman eski ESR'yi kullanmaya devam edebileceğiniz bir çakışma vardır. gelecekte gerekli geçişe hazırlanmak için yeni ESR'yi denerken.

Güven sahtekarlığı hataları

İki spesifik ve görünüşte ilişkili güvenlik açığı yapılmış Yüksek kategori bu ay şunlardı:

• CVE-2022-38472: XSLT hata işleme yoluyla adres çubuğu sahtekarlığı.
• CVE-2022-38473: Çapraz Kaynaklı XSLT Belgeleri, üst öğenin izinlerini devralırdı.

Tahmin edebileceğiniz gibi, bu hatalar, aksi takdirde masum görünen bir siteden alınan hileli içeriğin Firefox'un sizi, yapmamanız gereken güvenilir web sayfalarına yönlendirmesiyle sonuçlanabileceği anlamına gelir.

İlk hatada, Firefox, bilinmeyen ve güvenilmeyen bir siteden sunulan içeriği, zaten bildiğiniz ve güvendiğiniz bir sunucuda barındırılan bir URL'den geliyormuş gibi sunmaya ikna edilebilir.

İkinci hatada, bir alt pencerede gösterilen güvenilmeyen bir X sitesindeki web içeriği (bir IFRAMEiçin kısa satır içi çerçeve) güvenilir bir sitede Y…

… ana pencere Y'den “ödünç alınan”, web kameranıza ve mikrofonunuza erişim de dahil olmak üzere X'e geçmesini beklemeyeceğiniz (ve bilerek vermeyeceğiniz) güvenlik izinleriyle sonuçlanabilir.

Ne yapalım?

Masaüstü veya dizüstü bilgisayarlarda şuraya gidin: Destek > Firefox Hakkında güncel olup olmadığınızı kontrol etmek için.

Değilse, Hakkımızda penceresi sizden gerekli güncellemeyi indirmenizi ve etkinleştirmenizi ister - aradığınız 104.0ya da ESR102.2ya da ESR91.13, hangi yayın serisinde olduğunuza bağlı olarak.

Cep telefonunuzda, ile kontrol edin Google Oyun ya da Apple App Store En son sürüme sahip olduğunuzdan emin olmak için.

Linux ve BSD'lerde, dağıtımınız tarafından paketlenmiş Firefox sürümüne güveniyorsanız, yayınladıkları en son sürüm için dağıtım oluşturucunuza danışın.

Mutlu yama!

---