Mozilla dicht actief aangevallen zerodaylek in Firefox
Mozilla heeft vandaag een noodpatch uitgebracht voor een zerodaylek in Firefox dat actief werd aangevallen voordat de update beschikbaar was. Via de kwetsbaarheid kan een aanvaller in het ergste geval volledige controle over het systeem van de gebruiker krijgen.
Alleen het bezoeken van een kwaadaardige of gecompromitteerde website is hierbij voldoende. Er is geen verdere interactie van de gebruiker vereist. Mozilla werd door securitybedrijf Qihoo 360 over de kwetsbaarheid geïnformeerd. Volgens de browserontwikkelaar is het lek in de IonMonkey Just In Time (JIT) compiler van Firefox bij "gerichte aanvallen" ingezet. Verdere details worden echter niet gegeven, behalve dat de kwetsbaarheid remote code execution mogelijk maakt.
Gebruikers krijgen het advies om te updaten naar Firefox 72.0.1 of Firefox ESR 68.4.1. Dit kan via de automatische updatefunctie of Mozilla.org. Vorig jaar juni waren Firefoxgebruikers ook al het doelwit van een zeroday-aanval, terwijl afgelopen november Google nog een noodpatch voor een zerodaylek in Chrome uitbracht.
Of houdt dat "ergste geval" er rekening mee dat de gebruikers sessie al volledige controle over het systeem heeft?
(m.a.w. een dom geconfigureerd systeem)
Of houdt dat "ergste geval" er rekening mee dat de gebruikers sessie al volledige controle over het systeem heeft?
(m.a.w. een dom geconfigureerd systeem)
Dat kan niet tenzij het programma met root rechten draait.
Wat wel kan is dat er een tweede zeroday lek wordt gebruikt daarna om rechten te verhogen.. maar dat zie ik niet terug in het artikel.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
