Mozilla dicht actief aangevallen zerodaylek in Firefox
Mozilla heeft vandaag een noodpatch uitgebracht voor een zerodaylek in Firefox dat actief werd aangevallen voordat de update beschikbaar was. Via de kwetsbaarheid kan een aanvaller in het ergste geval volledige controle over het systeem van de gebruiker krijgen.
Alleen het bezoeken van een kwaadaardige of gecompromitteerde website is hierbij voldoende. Er is geen verdere interactie van de gebruiker vereist. Mozilla werd door securitybedrijf Qihoo 360 over de kwetsbaarheid geïnformeerd. Volgens de browserontwikkelaar is het lek in de IonMonkey Just In Time (JIT) compiler van Firefox bij "gerichte aanvallen" ingezet. Verdere details worden echter niet gegeven, behalve dat de kwetsbaarheid remote code execution mogelijk maakt.
Gebruikers krijgen het advies om te updaten naar Firefox 72.0.1 of Firefox ESR 68.4.1. Dit kan via de automatische updatefunctie of Mozilla.org. Vorig jaar juni waren Firefoxgebruikers ook al het doelwit van een zeroday-aanval, terwijl afgelopen november Google nog een noodpatch voor een zerodaylek in Chrome uitbracht.
Of houdt dat "ergste geval" er rekening mee dat de gebruikers sessie al volledige controle over het systeem heeft?
(m.a.w. een dom geconfigureerd systeem)
Of houdt dat "ergste geval" er rekening mee dat de gebruikers sessie al volledige controle over het systeem heeft?
(m.a.w. een dom geconfigureerd systeem)
Dat kan niet tenzij het programma met root rechten draait.
Wat wel kan is dat er een tweede zeroday lek wordt gebruikt daarna om rechten te verhogen.. maar dat zie ik niet terug in het artikel.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
