Mozilla komt met noodpatch voor libvpx-zeroday in Firefox
Mozilla heeft een noodpatch uitgebracht voor een actief aangevallen zerodaylek in libvpx, waar ook Firefox gebruik van maakt. De kwetsbaarheid is actief gebruikt voor het infecteren van Google Chrome-gebruikers met spyware, zo maakte Google gisteren bekend. Het techbedrijf kwam woensdag met een update voor Chrome.
Libvpx, een door Google en de Alliance for Open Media ontwikkelde videocodec-library. Bij het verwerken van een malafide VP8-mediastream kan er een heap buffer overflow ontstaan waardoor een aanvaller code binnen de browser kan uitvoeren. Om te worden aangevallen zou een slachtoffer een malafide of gecompromitteerde website moeten bezoeken. Naast Chrome maakt ook Firefox gebruik van libvpx.
In het geval van Google Chrome was de kwetsbaarheid als 'high' aangemerkt, waardoor alleen het uitvoeren van code binnen de browser mogelijk is. In het geval van Mozilla gaat het om een kritieke kwetsbaarheid waardoor een aanvaller code op het onderliggende systeem kan uitvoeren. Om de kwetsbaarheid te verhelpen zijn nu Mozilla Firefox 118.0.1, Firefox ESR 115.3.1, Firefox Focus for Android 118.1 en Firefox for Android 118.1 verschenen.
Firefox 118.0.1
Firefox ESR 115.3.1
Firefox Focus for Android 118.1
Firefox for Android 118.1
Thunderbird staat er niet bij?? Kan mij ook niet herinneren dat je in Thunderbird zelf filmpjes kan kijken. Tenminste in de oude ESR versie (102.15.1 - 32 bit - Windows 10).
While first marking it as a Chrome flaw, the company later assigned another CVE (CVE-2023-5129) and a maximum 10/10 severity rating, tagging it as a critical security vulnerability in libwebp (a library used by a large number of projects, including Signal, 1Password, Mozilla Firefox, Microsoft Edge, Apple's Safari, and the native Android web browser).
CVE-2023-5129 = libwebp (o.a. Firefox, Safari, Edge, Android en .... Signal .... oops)
Welke versie van Signal is kwetsbaar voor deze CVE? Is er al een patch? Ik ga zoeken, wordt vervolgd ....
De patch voor Thunderbird heb ik net gedownload om 20.22 uur op 29 september.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
