Firefox'tan hafif aylık güvenlik güncellemesi – ancak yine de güncelleyin

Bu ayın planlanmış Firefox güncellemesinin zamanı geldi (teknik olarak, güncellemeler arasında 28 gün var, bazen bir takvim ayında iki güncelleme alırsınız, ancak Temmuz 2022 o aylardan biri değil)…

…ve iyi haber şu ki, listelenen en kötü hatalar, bir risk kategorisi alan Yüksek, Mozilla tarafından otomatik hata arama araçları kullanılarak bulunan ve iki kapsamlı CVE numarası altında toplanmış olanlardır:

• CVE-2022-36320: Bellek güvenliği hatalar düzeltildi Firefox 103'te.
• CVE-2022-2505: Bellek güvenliği hatalar düzeltildi Firefox 103 ve 102.1'de.

Bu hataların iki gruba ayrılmasının nedeni, Mozilla'nın resmi olarak tarayıcısının iki çeşidini desteklemesidir.

En son özelliklere ve ilgili güvenlik düzeltmelerine sahip olan, şu anda 103 olan en yeni ve en iyi sürüm var.

Ayrıca, birkaç ayda bir en son sürümdeki özelliklerle senkronize olan, ancak arada yalnızca güvenlik güncellemelerini alan ve böylece yeni özellikleri yalnızca deneme sürümünde denenmeye hazır olduktan sonra getiren Genişletilmiş Destek Sürümü (ESR) çeşidi vardır. bir süre için ana sürüm.

Tahmin edebileceğiniz gibi, iş yerinde Firefox'u destekleyen sistem yöneticileri ve BT ekipleri genellikle ESR'leri severler çünkü bu, yeni özellikleri kendi kullanıcılarına dayatmak zorunda olmadıkları (veya yeni menü seçenekleri, farklı simgeler ve değiştirilmiş davranışlarla ilgili kaçınılmaz destek çağrılarını almak zorunda olmadıkları anlamına gelir) ) iyi bir uyarı olmadan.

Neredeyse her zaman, ana Firefox sürümünde ESR'de görünmeyen ve bu nedenle düzeltilemeyen en az birkaç hata vardır, çünkü hatalar yenidir, yeni özellikleri desteklemek için eklenen yeni kodda tanıtılmıştır. .

Bu, bazı sistem yöneticilerinin ESR tarzı yazılımları sevmesinin bir başka nedenidir, çünkü bu sürümlerdeki kodun, güvenlik yamalarından geri kalmadan daha uzun süre gerçek yaşam incelemesine maruz kalması göz önünde bulundurulur.

Aslında, Mozilla iki ESR sürümüne sahiptir, böylece geçiş yapmadan önce önceki ve mevcut ESR sürümlerini aynı anda deneyebilirsiniz, böylece üretim ağımızdaki en son sürümü hiçbir zaman kullanmanıza gerek kalmaz. (Şu anda desteklenen tüm sürümlerin en son sürüm numaraları için aşağıya bakın.)

Tıklamalarınızı yanıltmak

Yama listesindeki diğer altı hatadan ikisinin ilgi çekici ve önemli olduğunu düşünüyoruz, çünkü ikisi de saldırganlara göründüğü gibi olmayan bir şeye tıklamanız için sizi kandırma şansı veriyor:

• CVE-2022-36319: CSS dönüşümleri ile Fare Konumu sahtekarlığı. Basitçe söylemek gerekirse, bu hata, bubi tuzağına yakalanmış bir web sitesinin fare işaretçinizi konumunda bırakabileceği anlamına gelir. yanlış noktada tarayıcı penceresinde, böylece farenizi tıkladığınızda beklediğiniz yere kaydolmaz. Bu hile genellikle olarak bilinir Clickjacking, bir dolandırıcının güvenli bir yere tıkladığınızı düşünmenize neden olduğu durumlarda, aslında bir bağlantıya veya düğmeye tıklarsanız, bilseydiniz bilerek kaçınırdınız. En basit haliyle, tıklama hırsızlığı, sahte sosyal medya beğenileri veya istenmeyen reklam gösterimleri sağlayabilir. En kötüsü, sizi doğrudan oltalama saldırılarından veya bariz olmayan sahte indirmelerden, onları arıyor olsanız bile zarara yönlendirebilir.
• CVE-2022-36314: yerel açılış .lnk dosyalar neden olabilir beklenmedik ağ yükleri. LNK dosyalar Windows kısayolları, bir bütün olan güvenlik solucanları kutusu kendi haklarında. (A .LNK file, sizi gizlice X türünde bir dosyaya yönlendirebilir, örneğin .EXE, kendisini Y tipi bir simgeyle sunarken, örneğin .PDF.) Bu durumda, yerel olarak belirtilen bir web bağlantısı .LNK file, tıklandığında sizi bunun yerine ağda bir yerde depolanan bir dosyaya yönlendirebilir. Bu şekilde alınan verilerin uzaktan kod yürütme için (başka bir deyişle, kötü amaçlı yazılım yerleştirmek de dahil olmak üzere yetkisiz değişiklikler yapmak için) kullanılabileceğine dair bir öneri olmamasına rağmen, yerel veri olduğu gibi yanlış bir izlenimle uzak içeriğe güvenmek üzere kolayca kandırılabilirsiniz. . Herhangi bir ağ isteği sızıntısı biraz diğer uçta sunucuyu çalıştıran kişiye bilgi verir, bu nedenle tarayıcınızın, tıkladığınız her bağlantının sizi nereye götüreceği konusunda doğru bir fikir vermesi önemlidir.

KISAYOLLAR VE KÖTÜ AMAÇLI YAZILIMLAR HAKKINDA DAHA FAZLA BİLGİ EDİNİN

Ne yapalım?

Her zamanki gibi, git Destek > Firefox Hakkında ve açılır kutunun size söyleyip söylemediğini görün Firefox is up to date veya size etiketli tıklanabilir bir düğme sunar [Update to X].

Bu sefer, peşinde olduğunuz sürüm 103.0 (eğer kullanıyorsanız ana sürüm), ESR102.1 (eğer üzerindeyseniz en son ESR sürümü) veya ESR91.12 (eğer üzerindeyseniz en eski ESR aroması).

Daha önce açıkladığımız, ancak tekrar bahsetmeye değer olduğunu düşündüğümüz gibi, ESR sürüm tanımlayıcılarındaki iki sayı, güvenlik güncellemeleri açısından eşleştikleri ana sürümü belirtmek için bir araya gelir.

Bu nedenle, mevcut ana sürüm olduğu göz önüne alındığında 103, daha hızlı söyleyebilirsin 102.1ESR (102+1 = 103) ve 91.12ESR (91+12 = 103) kendi soylarındaki en yeni yayınlardır.