Dwie nowe krytyczne luki w Mozilla Firefox wykorzystywane aktywnie przez hackerów

Mozilla wydała 5 Marca nagłe aktualizacje oprogramowania do swojej przeglądarki Firefox. Poprawki łatają dwie luki w zabezpieczeniach o dużym impakcie, które są aktywnie wykorzystywane na wolności przez atakujących.

Podatności śledzone są jako CVE-2022-26485 i CVE-2022-26486. Luki zero-day zostały opisane jako problemy typu use-after-free (UAF). Odnosi się do błędu uszkodzenia pamięci, który występuje, gdy aplikacja próbuje użyć pamięci, która nie jest już do niej przypisana (lub zwolniona). Może to spowodować awarie i nieumyślne nadpisanie danych, a w scenariuszach cyberataków może prowadzić do wykonania dowolnego kodu lub umożliwić atakującemu uzyskanie możliwości RCE. Rodzaje tych podatności są często kojarzone z przeglądarkami internetowymi, takimi jak Google Chrome i Mozilla Firefox, co pozwoliło na wiele udanych ataków na przestrzeni ostatnich lat.

Opisywane dwa błędy w Firefox wpływają na przetwarzanie parametrów Extensible Stylesheet Language Transformations (XSLT) i komunikację między procesami WebGPU (IPC). Struktura XSLT to język oparty na XML, używany do konwersji dokumentów XML na strony internetowe lub dokumenty PDF, podczas gdy WebGPU to nowy standard sieciowy, który został uznany za następcę obecnej biblioteki graficznej WebGL JavaScript.

Poniżej krótki opis obydwu podatności:

CVE-2022-26485 – Usunięcie parametru XSLT podczas przetwarzania danych może prowadzić do wykorzystania use-after-free

CVE-2022-26486 – Nieoczekiwana wiadomość w strukturze WebGPU IPC może doprowadzić do use-after-free i ucieczki dowolnego ładunku z odseparowanej piaskownicy

Mozilla przyznała, że „mieliśmy doniesienia o atakach na wolności” wykorzystujących dwie luki w zabezpieczeniach, ale nie podzieliła się żadnymi szczegółami technicznymi związanymi z włamaniami lub tożsamościami wykorzystujących je cyberprzestępców.

Badaczom bezpieczeństwa: Wang Gang, Liu Jialei, Du Sihang, Huang Yi i Yang Kang z Qihoo 360 ATA przypisuje się odkrycie i zgłoszenie tych błędów.

W związku z aktywnym wykorzystywaniem podatności zaleca się użytkownikom jak najszybszą aktualizację do Firefox 97.0.2, Firefox ESR 91.6.1, Firefox dla Androida 97.3.0, Focus 97.3.0 i Thunderbird 91.6.2.

Popularne

Nowy wymiar cyberwojny: chińskie operacje wpływu i ataki planowane z użyciem ChatGPT – tło techniczne incydentu

W ostatnich dniach świat technologii i cyberbezpieczeństwa obiegła informacja o tym, że chińscy aktorzy - w tym osoby związane ze służbami państwowymi - wykorzystywali system OpenAI ChatGPT nie tylko do...

4 min czytania 27 lut 2026 08:00

Jak zmienić nieznane/zapomniane hasło Administratora na Windows?

W tym artykule pokażemy, jak możemy zmienić hasło administratora na komputerze posiadając do niego fizyczny dostęp. Artykuł ten można potraktować także jako przestrogę dla firm, które nie zaimplementowały jeszcze odpo...

5 min czytania 5 cze 2019 08:00

Jak hakerzy wykorzystują AI do budowania fałszywych stron internetowych

W erze generatywnej sztucznej inteligencji cyberprzestępcy zyskali możliwość tworzenia przekonująco wyglądających stron internetowych w ciągu kilku minut, bez konieczności posiadania umiejętności programowa...

5 min czytania 26 lut 2026 08:00

Keenadu – nowe złośliwe oprogramowanie dla systemu Android wykryte na tysiącach urządzeń!

Badacze z firmy Kaspersky przeanalizowali niedawno odkryte złośliwe oprogramowanie dla systemu Android, które umożliwia operatorom zdalne sterowanie zainfekowanymi urządzeniami. Backdoor, nazwany Keen...

2 min czytania 23 lut 2026 08:04

Jak poznać hasło administratora lub użytkowników logujących się do Twojego komputera?

Jeśli masz odrobinę szczęścia lub „odpowiednie umiejętności” i potrafisz zdobyć lokalne uprawnienia administracyjne na Twoim komputerze w firmie lub zaliczasz się do grona tych szczęściarzy, którzy pracuj...

10 min czytania 20 sty 2020 12:00