Mozilla Firefox 97 でバグ FIX:Windows 管理者への不正な権限昇格

Mozilla fixes Firefox bug letting you get Windows admin privileges

2022/02/08 BleepingComputer — Mozilla Maintenance Service に深刻度の高い特権昇格の脆弱性が見つかり、それに対処するセキュリティ・アップデートが公開された。この Service は、Firefox および Thunderbird のオプション・サービスであり、アプリケーションのアップデートをバックグラウンドで実行するものだ。それにより、Firefox ユーザーは、Web ブラウザやメール・クライアントを更新する際に、Windows の User Account Control (UAC) ダイアログで Yes をクリックする必要がなくなり、シームレスなアップデート・エクスペリエンスが得られる。

Mozilla は、特権昇格のセキュリティ上の欠陥である CVE-2022-22753 を、今日の Firefox 97 リリースにより修正した。パッチが適用されていないシステムに対して攻撃に成功すると、攻撃者は NT AUTHORITY\SYSTEM アカウント権限 (Windows システムの最高権限) に権限昇格できてしまう。

Mozillaは、「Maintenance (Updater) Service には Time-of-Check Time-of-Use というバグがあり、これを悪用することで、ユーザに任意のディレクトリへの書き込み権限を許してしまう。それを利用する攻撃者は、SYSTEM アクセスへと昇格できてしまう。ただし、このバグは Windows 版の Firefox にのみ影響し、他の OS には影響は生じない」と説明している。

また Mozilla は、開発者やコミュニティが Firefox 96/Firefox ESR 91.5 で発見した複数のメモリ・セキュリティのバグにも、Firefox 97 で対応していると述べている。

Firefox 97 には新機能と改善点が追加された

本日のリリースでは、Windows 11 の新しいスタイルのスクロールバーへの対応や、macOS のシステム・フォントの読み込みの改善、タブ動作を高速化どの修正も行われている。また、Firefox 97 では、Linux 上での PostScript をダイレクト生成機能が削除されているが、サポート対象のオプションとして PostScript プリンタへの印刷は可能となる。

2021年12 月に Mozilla は、クロス・プラットフォームの Network Security Services (NSS) 暗号ライブラリに影響する、深刻なメモリ破壊のバグを修正した。脆弱なバージョンの Firefox を実行しているシステムで、このバグを悪用すると、ヒープバッファ・オーバーフローが発生し、プログラムのクラッシュ/任意のコードの実行が生じ、セキュリティ・ソフトウェアのバイパスにいたる可能性があった。その時点で Mozilla は、2012年10月以降にリリースされた NSS バージョンを、署名検証に使用している PDF ビュアーおよびメール・クライアントが影響を受けると発表していた。

2月8日付の「Mozilla Foundation Security Advisory 2022-04」で、High 4件、Medium 8件の脆弱性が報告されています。最近の Mozilla に関する記事としては、2021年11月の「Thunderbird 91.3 がリリース:Win 10 Cloud Clipboard に関連する深刻な脆弱性が FIX」や、12月の「Mozilla の暗号ライブラリ Network Security Services の深刻なバグが FIX」、2022年1月の「Firefox 96 でフィッシングを止めろ:フルスクリーン通知バイパスの脆弱性などが FIX」などがあります。よろしければ、ご参照ください。

%d bloggers like this: